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Editorial 
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Aktuell ist die Gesundheit allerorten dank der Corona-Pandemie ein Gesprächsthe- 
ma. In Zeiten nicht nur virtueller globaler Vernetzung können aus lokal auftretenden 
Krankheiten schnell Epidemien werden, wie uns COVID-19 gerade deutlich zeigt. Die 
Pläne für diese Schwerpunktausgabe wurden allerdings recht früh im letzten Jahr ge- 
macht und dieses Heft kann und will vor allem eines nicht leisten: die Lieferung tages- 
aktueller Information zu Gesetzen und immer neuen Gesetzesvorhaben der Berliner 
Regierungskoalition. 


Vielmehr werden Hintergründe beleuchtet sowie Fakten und Auslegungen gelie- 
fert, indem das „Digitale-Versorgung-Gesetz” detailliert betrachtet wird, die Daten- 
schutzaspekte bei Auftragsverarbeitung von Gesundheits- und Sozialdaten heraus- 
gearbeitet werden und schließlich die Datenverarbeitung durch die Dienstleistungs- 
firma ACTINEO kritisch analysiert wird. Die umfassende rechtliche Beleuchtung der 
Position eines Betriebsarztes rundet das Schwerpunktthema ab. Außerdem versuchen 
wir in diesem Heft ein für die DANA neues Format, das Interview, und hinterfragen die 
alltägliche Datenschutzsituation eines Arztes im Krankenhaus. 


Zum Weiterlesen können sowohl die Meldungen als auch die Buchbesprechungen an- 
regen, die den Schluss dieser Ausgabe bilden. Datenschutz-Themen, die Sie hier nicht 
finden, sind vielleicht im letzten Jahr schon in der DANA behandelt worden. Deshalb 
empfehlen wir einen Blick ins beigeheftete Jahresregister 2019 und verabschieden 
uns mit dem Wunsch, dass Sie alle gesund bleiben mögen! 
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Thilo Weichert 


Der Betriebsarzt und der Datenschutz 


Die Datenverarbeitung durch Be- 
triebsärzte weist gegenüber anderer 
medizinischer Datenverarbeitung die 
Besonderheit auf, dass nicht nur das 
Medizinrecht und das Datenschutzrecht 
zur Anwendung kommen, sondern zu- 
dem das Arbeitsrecht mit seinen spezifi- 
schen Regelungen. Mit der europäischen 
Datenschutz-Grundverordnung (DSGVO) 
kam zusätzlich zur nationalen eine euro- 
päische Regelungsebene hinzu, was die 
Anwendung der Normen nicht einfacher 
macht. Im Folgenden sollen die wesentli- 
chen Regeln in ihrer praktischen Umset- 
zung dargestellt werden. 


1. Datenschutz-Grundverordnung 


Die europäische Datenschutz-Grund- 
verordnung (DSGVO) ist auf betriebsärzt- 
liche Datenverarbeitung umfassend an- 
zuwenden, da hierbei personenbezogene 
Daten verarbeitet werden (Art. 2 DSGVO). 

Die Verarbeitung personenbezogener 
Gesundheitsdaten ist in Art. 9 DSGVO 
geregelt unter dem zusammenfassen- 
den Begriff der „besonderen Kategori- 
en personenbezogener Daten”. Hierzu 
gehören u. a. auch genetische Daten, 
biometrische Daten zur eindeutigen 
Personenidentifizierung sowie Daten 
zum Sexualleben. 

Als Erlaubnistatbestände für die Ver- 
arbeitung dieser besonderen Datenka- 
tegorien werden in Art. 9 Abs. 2 DSGVO 


Bild: iStock 


u.a. genannt: die ausdrückliche Einwilli- 
gung (lit. a), die Erforderlichkeit, damit 
„aus dem Arbeitsrecht und dem Recht 
der sozialen Sicherheit und des sozialen 
Rechtsschutzes erwachsende Rechte” 
ausgeübt werden können (lit. b), der 
Schutz „lebenswichtiger Interessen” der 
Betroffenen (lit. c), die Erforderlichkeit 
„zur Geltendmachung, Ausübung oder 
Verteidigung von Rechtsansprüchen” 
(lit. f), „für Zwecke der Gesundheitsvor- 
sorge oder der Arbeitsmedizin, für die 
Beurteilung der Arbeitsfähigkeit des Be- 
schäftigten, für die medizinische Diag- 
nostik, die Versorgung oder Behandlung 
im Gesundheits- oder Sozialbereich” 
(lt. h), „aus Gründen des öffentlichen 
Interesses im Bereich der öffentlichen 
Gesundheit” (lit. i) oder für „Forschungs- 
zwecke“ (lit. j). 

Art. 9 Abs. 3 DSGVO enthält zudem 
eine Regelung zur Verarbeitung von Da- 
ten, die einem Berufsgeheimnis unter- 
liegen, so wie dies im deutschen Recht 
für die Verarbeitung durch Betriebsärz- 
te zutrifft. Danach ist es den nationalen 
Gesetzgebern erlaubt, verstärkte Ge- 
heimhaltungspflichten festzulegen." 

Sowohl Art. 9 Abs. 2lit.b,h,iundjals 
auch Art. 9 Abs. 3 DSGVO enthalten Öff- 
nungsklauseln, wonach eine präzisieren- 
de nationale Rechtsgrundlage möglich, 
ja evtl. sogar nötig ist. Dies bedeutet, 
dass die vor dem Wirksamwerden der DS- 
GVO geltenden spezifischen Regelungen 


in Deutschland zu sensitiven Daten weit- 
gehend weitergelten konnten.’ Tatsäch- 
lich wurden von den deutschen Gesetz- 
gebern auf Bundes- und auf Landesebe- 
ne die insofern relevanten Regelungen 
inhaltlich nicht geändert. 

Zur Umsetzung der Öffnungsklauseln 
derDSGVO und Anpassung desnationalen 
Rechts an die DSGVO mussten aber die all- 
gemeinen Datenschutzgesetze, also auf 
Bundesebene das Bundesdatenschutz- 
gesetz (BDSG), geändert werden.’ In 
& 22 BDSG ist die „Verarbeitung beson- 
derer Kategorien personenbezogener 
Daten“ geregelt. Die Norm paraphrasiert 
in Abs. 1 weitgehend Art. 9 Abs. 2 DSGVO 
sowie in Abs. 2 die Anforderungen an 
„angemessene und spezifische Maßnah- 
men” der Technik und der Organisation, 
wie sie insbesondere in den Art. 25, 32 
DSGVO geregelt sind.* Eine für die ärzt- 
liche Datenverarbeitung bedeutsame 
Regelung ist zudem die Einschränkung 
der Kontrollbefugnisse der Datenschutz- 
aufsichtsbehörden bei Berufsgeheimnis- 
trägern (8 29 Abs. 3 BDSG). 

Art. 88 DSGVO, der die „Datenver- 
arbeitung im Beschäftigtenkontext” 
regelt, enthält eine weitere Öffnungs- 
klausel. Deren Umsetzung erfolgte in 
& 26 BDSG, der in den Absätzen 1 und 
3 eine weitgehende Paraphrasierun- 
gen des Art. 88 Abs. 1 DSGVO bzgl. der 
Verarbeitungszwecke vornimmt und in 
Abs. 2 die Voraussetzungen für wirksa- 
me Einwilligungen im Beschäftigten- 
kontext präzisiert. & 26 Abs. 7 BDSG 
stellt klar, dass die datenschutzrechtli- 
chen Regeln unabhängig davon gelten, 
ob die Beschäftigtendaten in einem (di- 
gitalen) Dateisystem oder in (Papier-) 
Akten gespeichert sind und verarbeitet 
werden. Als Rechtsgrundlage für die 
Verarbeitung kommen auch Kollektiv- 
vereinbarungen (Dienst- bzw. Betriebs- 
vereinbarungen, Tarifverträge) in Be- 
tracht (Art. 88 Abs. 1DSGVO, 8 26 Abs. 4 
BDSG), wobei diese die allgemeinen 
Abwägungsregeln zwischen den Arbeit- 
geberinteressen und den Grundrechten 
der betroffenen Beschäftigten beachten 
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müssen.’ Für die betriebsärztliche Da- 
tenverarbeitung gibt es also zwei Öff- 
nungsklauseln (Art. 9 u. 88 DSGVO).‘ 
Mit der DSGVO sind nunmehr viele all- 
gemeine Fragen zur Datenverarbeitung 
durch den Betriebsarzt abgedeckt, so 
zur Verantwortlichkeit, zur Begründung 
der Betroffenenrechte oder zur Da- 
tenschutzkontrolle generell. Das neue 
BDSG ist relevant als Auffangregelung, 
soweit nicht spezifische Gesetze präzi- 
sere Regelungen enthalten, sowie für 
Beschränkungen der Betroffenen- und 
der Kontrollrechte (88 29, 32-37 BDSG). 


2. Verantwortlichkeit 


Gemäß Art. 4 Nr. 4 DSGVO ist „‚Verant- 
wortlicher‘ die natürliche oder juristi- 
sche Person, Behörde, Einrichtung oder 
andere Stelle, die allein oder gemeinsam 
mit anderen über die Zwecke und Mittel 
der Verarbeitung von personenbezo- 
genen Daten entscheidet”. Es kommt 
auf die juristische Sichtweise an: Die 
natürliche oder juristische Person, die 
über Zweck und Mittel der Verarbeitung 
bestimmt, ist verantwortlich.’ Dabei ist 
es nicht nötig, dass die Stelle objektiv 
und umfassend über die Daten bestim- 
men kann, nicht einmal, dass sie direkt 
darauf Zugriff hat.® Voraussetzung für 
die Verantwortlichkeit ist, dass die Stel- 
le willentlich, evtl. in Kooperation mit 
anderen gemeinsam Verantwortlichen, 
einen kausalen Beitrag für die Daten- 
verarbeitung leistet. 

Der Betriebsarztwird gemäß 8 2 Abs. 1 
Arbeitssicherheitsgesetz (ASiG) vom 
Arbeitgeber bestimmt. Der Arbeitgeber 
sorgt dafür, dass die von ihm bestellten 
Betriebsärzte ihre Aufgaben erfüllen 
und stellt die hierfür nötigen „Räume, 
Einrichtungen, Geräte und Mittel zur 
Verfügung” (8 2 Abs. 2 ASiG). Zu den 
Aufgaben des Betriebsarztes gehört es, 
„die Arbeitnehmer zu untersuchen, ar- 
beitsmedizinisch zu beurteilen und zu 
beraten sowie die Untersuchungsergeb- 
nisse zu erfassen und auszuwerten” (8 3 
Abs. 1Nr. 2 ASiG). 

Arbeitsmedizin ist geprägt von einem 
Dreiecksverhältnis zwischen Arbeitge- 
ber, Beschäftigten und Betriebsarzt. 
Dabei geht es in Bezug auf die Verar- 
beitung von Daten darum, dass dem 
Arbeitgeber die für die Erbringung der 
Arbeitsleistung und die Bereitstellung 
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des Arbeitsplatzes erforderlichen Infor- 
mationen zur Verfügung gestellt werden 
und zugleich der Persönlichkeitsschutz 
der Beschäftigten und deren Vertrau- 
ensverhältnis zum medizinischen 
Personal gewahrt werden.’ Zur daten- 
schutzrechtlichen Verantwortlichkeit 
enthält das Arbeitssicherheitsgesetz 
(ASiG) keine Aussage, weshalb insofern 
auf die allgemeinen Normen der DSGVO 
zurückzugreifen ist. Danach ist zu un- 
terscheiden, ob der Betriebsarzt Mit- 
arbeiter des Arbeitgebers ist (interner 
Betriebsarzt) oder seine Dienste als un- 
abhängiger Dienstleister zur Verfügung 
stellt (externer Betriebsarzt)." 

Ist der Betriebsarzt Mitarbeiter des 
Arbeitgebers (interner Betriebsarzt), so 
ist er Teil der vom Arbeitgeber geführ- 
ten juristischen Person und somit nicht 
Verantwortlicher.!! Verantwortlicher ist 
der Arbeitgeber. Dieser isti. d. R. auch 
im sachenrechtlichen Sinn über die 
betriebsärztliche Dokumentation ver- 
fügungsbefugt. Dass dem Arbeitgeber 
wegen der ärztlichen Schweigepflicht 
keine Zugriffsrechte auf die Daten zu- 
stehen, spielt für die datenschutzrecht- 
liche Einordnung keine Rolle. 

Der externe Betriebsarzt, egal ob 
Einzelperson oder betriebsärztlicher 
Dienst, ist als eigenständige, vom Ar- 
beitgeber getrennte juristische Per- 
son dagegen nicht dem Arbeitgeber 
zuzuordnen. Der externe Betriebsarzt 
bzw. betriebsärztliche Dienst ist also 
im Sinne des Datenschutzrechts selbst 
Verantwortlicher. Dies schließt nicht 
aus, dass er die Räumlichkeiten, Ein- 
richtungen und Geräte des Arbeitgebers 
in Anspruch nimmt und der Arbeitge- 
ber insofern deren Eigentümer ist. Es 
kommt darauf an, dass er als natürliche 
oder juristische Person vertraglich mit 
dem Arbeitgeber hierüber eine Verein- 
barung trifft und insofern über Mittel 
und Zwecke der Verarbeitung (mit-)be- 
stimmt. Möglich ist auch, dass sich die 
Mittel der ärztlichen Dokumentation im 
Eigentum des externen Betriebsarztes 
befinden. Der Arbeitgeber ist in Bezug 
auf die Verarbeitung im Rahmen der 
gesetzlichen Aufgabenwahrnehmung 
des Betriebsarztes, also nicht bei einer 
freiwilligen medizinischen Behandlung 
eines Patienten, auch (gemeinsam) 
Verantwortlicher, weil er gemeinsam 
mit dem Betriebsarzt sowohl Mittel als 


auch Zwecke der Verarbeitung bestimmt 
(Art. 26 DSGVO). 


3. Arbeitsmedizin zwischen Medizin-, 
Arbeits- und Datenschutzrecht 


Neben den datenschutzrechtlichen 
Anforderungen sind im Bereich der Ar- 
beitsmedizin die des Medizinrechts zu 
beachten. Diese finden ihre standes- 
rechtliche Grundlage in den Berufsord- 
nungen der Landesärztekammern, wel- 
che sich weitgehend an der Musterord- 
nung für diein Deutschland tätigen Ärz- 
tinnen und Ärzte (MBOÄ) orientieren. 

Eine weitere Rechtsgrundlage für 
das Arzt-Patienten-Verhältnis ist der 
zivilrechtlich abgeschlossene Behand- 
lungsvertrag, dessen Ausgestaltung mit 
dem Patientenrechtegesetz 2013 in den 
88 630a bis 630h Bürgerliches Gesetz- 
buch (BGB) ausführlich geregelt wurde. 
Diese Regelungen gelten für den exter- 
nen Betriebsarzt, auch wenn das Ver- 
tragsverhältnis nicht zwischen Patienten 
und Arzt, sondern zwischen Arbeitgeber 
und Arzt besteht. Es handelt sich dabei 
in Bezug auf den beim Arbeitgeber Be- 
schäftigten um einen unechten Vertrag 
zugunsten eines Dritten (vgl. 8 328 BGB) 
bzw. um einen Vertrag mit Schutzwir- 
kung für einen Dritten." Unerheblich für 
die Einstufung als Behandlungsvertrag 
ist, dass die ärztlichen Leistungen sich 
vorrangig auf den Betrieb des Arbeitge- 
bers beziehen (8 3 Abs. 1Nr. 1, 3, 4 ASiG) 
und erst in zweiter Linie, etwa bei der 
Untersuchung von Arbeitnehmern, auf 
den Probanden bzw. Patienten (8 3 Abs. 1 
Nr. 2 ASiG). Beim internen Betriebsarzt 
besteht zwischen diesem und dem Ar- 
beitgeber ein Arbeitsvertrag. Auf diesen 
lassen sich aber die 88 630a ff. BGB weit- 
gehend entsprechend anwenden. 

Es besteht gemäß 8 11 Arbeitsschutz- 
gesetz (ArbSchG) eine spezifische 
Schutzpflicht des Arbeitgebers zur „ar- 
beitsmedizinischen Vorsorge“: „Der 
Arbeitgeber hat den Beschäftigten auf 
ihren Wunsch unbeschadet der Pflich- 
ten aus anderen Rechtsvorschriften zu 
ermöglichen sich je nach den Gefahren 
für ihre Sicherheit und Gesundheit bei 
der Arbeit regelmäßig arbeitsmedi- 
zinisch untersuchen zu lassen, es sei 
denn, auf Grund der Beurteilung der Ar- 
beitsbedingungen und der getroffenen 
Schutzmaßnahmen ist nicht mit einem 


Gesundheitsschaden zu rechnen.” Zu- 
gunsten der Beschäftigten ist zudem in 
& 10 ArbSchG geregelt, dass der Arbeit- 
geber Vorkehrungen zur ersten Hilfe 
und zu sonstigen Notfallmaßnahmen 
ergreifen muss, wozu er sich des Be- 
triebsarztes bedienen kann. 

Zu beachten ist weiterhin 8 203 Straf- 
gesetzbuch (StGB), der Verstöße gegen 
die berufliche Schweigepflicht mit Stra- 
fe bedroht und der für Angehörige eines 
Heilberufs und insbesondere für Ärzte 
gilt (8 203 Abs. 1 Nr. 1 StGB). Die Ver- 
pflichtung gilt auch für Betriebsärzte 
(88 Abs. 15. 3 ASiG). 

Schließlich gibt es eine Vielzahl 
von Spezialgesetzen, die für besonde- 
re Formen der ärztlichen Behandlung 
wie auch der ärztlichen Dokumenta- 
tion gelten. Hierzu zählen mit Bezug 
zum Arbeitsverhältnis die 88 2-4 ASiG, 
11 ArbSchG, 19-22 Gendiagnostikgesetz 
(GenDG).'? Kommt es durch Betriebsärz- 
te zu bestimmten Behandlungen, so gel- 
ten diese Regelungen ergänzend. 

Zu den Spezialregelungen für den Be- 
reich der arbeitsmedizinische Vorsorge 
gehört die Verordnung zur arbeitsme- 
dizinischen Vorsorge (ArbMedVV).* 
Diese Verordnung verpflichtet den Ar- 
beitgeber (88 3 ArbMedVV), wozu die- 
ser sich des Betriebsarztes bedient (8 6 
ArbMed\V). In diesem Kontext werden 
vom Arbeitgeber Kenntnisse in Bezug 
auf die Arbeitsplatzverhältnisse (& 6 
ArbMedVV) sowie Vorsorgemaßnahmen 
in Bezug auf die Beschäftigten (88 4-5a 
ArbMedVV) eingefordert. Pflichtunter- 
suchungen erfolgen auch gegenüber 
Jugendlichen (8 32 Abs. 1 Jugendar- 
beitsschutzgesetz - JArbSchG), bei 
Tätigkeiten im Lebensmittelbereich 
(8 43 Abs. 1 Infektionsschutzgesetz), 
zur Ermittlung der Seediensttauglich- 
keit (& 81 Seemanngesetz) sowie im 
Rahmen von Unfallverhütungsvor- 
schriften der Unfallversicherungsträger 
(8 15 Abs. 15. 1Nr. 3 Sozialgesetzbuch 
- SGB - VII)."° Wegen der Öffnungsklau- 
seln in der DSGVO behalten sämtliche 
der genannten nationalen, regionalen 
und standesrechtlichen Regelungen 
ihre Wirksamkeit (s. o. 1)." 


4. Dokumentationspflichten 


Der Betriebsarzt ist nach vertragli- 
chen, deliktischenwieberufsrechtlichen 


Grundlagen zur Dokumentation seiner 
ärztlichen Tätigkeit verpflichtet. Der 
Behandelnde, wozu auch der Betriebs- 
arzt gehört, muss die Behandlung in 
einer „Patientenakte in Papierform oder 
elektronisch” dokumentieren (8 630f 
Abs. 15. 1 BGB). „Berichtigungen und 
Änderungen von Eintragungen in der 
Patientenakte sind nur zulässig, wenn 
neben dem ursprünglichen Inhalt er- 
kennbar bleibt, wann sie vorgenommen 
worden sind” (S. 2). Erfasst werden 
müssen alle „wesentlichen Maßnah- 
men“, „insbesondere die Anamnese, 
Diagnosen, Untersuchungen, Untersu- 
chungsergebnisse, Befunde, Therapien 
und ihre Wirkungen, Eingriffe und ihre 
Wirkungen, Einwilligungen und Aufklä- 
rungen. Arztbriefe sind in die Patien- 
tenakte aufzunehmen” (8 630f Abs. 2 
BGB). Diese vertraglichen Pflichten 
entsprechen den in 8 10 Abs. 1 Muster- 
berufsordnung für Ärzte (MBOÄ) gere- 
gelten standesrechtlichen Dokumen- 
tationspflichten „über die in Ausübung 
ihres Berufes gemachten Feststellungen 
und getroffenen Maßnahmen“. 

„Der Behandelnde hat die Patienten- 
akte für die Dauer von zehn Jahren 
nach Abschluss der Behandlung aufzu- 
bewahren, soweit nicht nach anderen 
Vorschriften andere Aufbewahrungs- 
fristen bestehen” (8 630f Abs. 3 BGB). 
Diese Regelung entspricht inhaltlich 
vollständig $ 10 Abs. 3 MBOÄ. Eine 
Konkretisierung bzgl. weitergehender 
Aufbewahrungspflichten erfolgte durch 
den Ausschuss für Arbeitsmedizin in 
der Arbeitsmedizinischen Regel (AMR) 
zu „Fristen für die Aufbewahrung ärzt- 
licher Unterlagen” (AMR 6.1): „Bei 
Tätigkeiten, bei denen nach längeren 
Latenzzeiten Gesundheitsstörungen 
auftreten können, reicht diese Auf- 
bewahrungszeit nicht aus. Dies gilt 
insbesondere für ärztliche Unterlagen 
zu Tätigkeiten mit krebserzeugenden 
Gefahrstoffen (K1 und K2), für die Ar- 
tikel 15 der Richtlinie 2004/37/EG des 
Europäischen Parlaments und des Rates 
vom 29. April 2004 über den Schutz der 
Arbeitnehmer gegen Gefährdung durch 
Karzinogene oder Mutagene bei der Ar- 
beit eine Aufbewahrungsfiist von min- 
destens 40 Jahren vorsieht” (Nr. 1 AMR 
6.1). Weitere Konkretisierungen der 
Aufbewahrungsfristen von mindestens 
40 Jahren finden sich in Nr. 3 AMR 6.1. 


Hinsichtlich der Verantwortlichkeit 
wird in Nr. 4. (2) AMR 6.1. klargestellt, 
dass es Aufgabe des Arbeitgebers ist, 
„dafür Sorge zutragen, dass die Unterla- 
gen innerhalb der Frist sicher verwahrt 
werden und nur für datenschutzrecht- 
lich befugte Personen zugänglich sind”. 
„Näheres regelt das ärztliche Berufs- 
recht und das Datenschutzrecht” (Nr. 4 
(1) AMR 6.1.). 

Bei der Dokumentation des Betriebs- 
arztes handelt es sich materiell-recht- 
lich nicht um einen Teil der Personal- 
akte, die vom Arbeitgeber zu führen ist 
und für die gesonderte rechtliche Rege- 
lungen gelten."? 

In der ArbMedVV ist eine Unterschei- 
dung zwischen der Vorsorge im Diens- 
te der Gesundheit des Arbeitnehmers 
(88 5, 5a) und Eignungsuntersuchun- 
gen für Zwecke des Arbeitgebers (8 4) 
angelegt.'? Diese Differenzierung zwi- 
schen der Verarbeitung im vorrangigen 
Interesse des Arbeitnehmers und der 
im Interesse des Arbeitgebers sollte 
sich in der Struktur der Dokumentati- 
on des Betriebsarztes widerspiegeln. 
Angaben zu Eignungsuntersuchungen 
sind getrennt oder zumindest abtrenn- 
bar zu verwahren.?° 


5. Ärztliches Berufsgeheimnis 


Für Betriebsärzte gilt die ärztliche 
Schweigepflicht des $ 203 Strafgesetz- 
buch (StGB) bzw. 8 9 MBOÄ (Patienten- 
geheimnis). Ein Beschäftigter hat zwar 
- anders als beim normalen Arzt-Pati- 
enten-Verhältnis - keine freie Arztwahl. 
Für bestimmte Untersuchungen ist aus- 
schließlich der Betriebsarzt zuständig. 
Dennoch muss die Beziehung zwischen 
dem Betriebsarzt und den Beschäftig- 
ten von starkem Vertrauen getragen 
sein, welches vom Patientengeheimnis 
gestützt wird. 

Der Betriebsarzt hat nach & 8 Abs. 1 
ArbSiG eine dem Arbeitgeber bzw. dem 
Dienstherrn gegenüber unabhängige 
Stellung und muss auch diesem gegen- 
über die ärztliche Schweigepflicht wah- 
ren.?! Er darf den Arbeitgeber nur im 
Rahmen des für die Aufgabenwahrneh- 
mung erforderlichen Umfangs informie- 
ren, was sich in der Regel auf die für den 
Arbeitgeber zu ziehenden Schlussfolge- 
rungen beschränkt.”” Untersuchungs- 
ergebnisse aus der allgemeinen arbeits- 
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medizinischen Vorsorge (8 3 Abs. 1Nr. 2 
ASiG) bedürfen für ihre Offenbarung ge- 
genüber dem Arbeitgeber der ausdrück- 
lichen Einwilligung des Patienten.” 8 26 
Abs. 2 BDSG ist insofern anzuwenden. Es 
kommt dabei nicht darauf an, ob der Be- 
triebsarzt intern mittels Arbeitsvertrag 
eingesetzt ist oder ob er allein praktizie- 
rend bzw. als Mitarbeiter eines ärztlichen 
Unternehmens, dessen Geschäftsfeld die 
Erbringung betriebsärztlicher Leistun- 
gen ist, extern tätig ist. 


6. Beendigung der betriebsärztlichen 
Tätigkeit 


& 10 Abs. 4 MBOÄ regelt, wie mit der 
Dokumentation nach Beendigung der 
ärztlichen Tätigkeit umzugehen ist: 
„Nach Aufgabe der Praxis haben Ärztin- 
nen und Ärzte ihre ärztlichen Aufzeich- 
nungen und Untersuchungsbefunde ge- 
mäß Absatz 3 aufzubewahren oder dafür 
Sorge zu tragen, dass sie in gehörige 
Obhut gegeben werden. Ärztinnen und 
Ärzte, denen bei einer Praxisaufgabe 
oder Praxisübergabe ärztliche Aufzeich- 
nungen über Patientinnen und Patien- 
ten in Obhut gegeben werden, müssen 
diese Aufzeichnungen unter Verschluss 
halten und dürfen sie nur mit Einwilli- 
gung der Patientin oder des Patienten 
einsehen oder weitergeben.” 

Die betriebsärztliche Dokumentation 
beinhaltet arbeitnehmerbezogene indi- 
viduelle medizinische wie auch arbeit- 
geber- bzw. unternehmens- und arbeits- 
platzbezogene Aspekte. Sie wird sowohl 
für den Patienten als auch für den Arbeit- 
geber geführt und kann insbesondere ge- 
genüber den Unfallversicherungsträgern 
als Nachweis erfolgter Vorsorgemaßnah- 
men dienen. Das Patientengeheimnis 
steht einer Aktenübergabe an den nach- 
folgenden Betriebsarzt grundsätzlich 
nicht entgegen; datenschutzrechtlich 
ist die Übergabe für die weitere Aufga- 
benerfüllung gerechtfertigt. Bei einem 
Wechsel des Betriebsarztes sind die Pa- 
tientenakten an den neuen Betriebsarzt 
zu übergeben. Dieser muss in der Lage 
sein, die Aufgaben seines Vorgängers für 
den Arbeitgeber sowie im Interesse der 
Beschäftigten nahtlos weiter zu erfüllen. 

Eine ausdrückliche Einwilligung der 
Beschäftigten bzw. Patienten für den 
Übergang des Gewahrsams an den Akten 
ist nicht nötig. Allerdings ist zu beach- 
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ten, dass bei einem Wechsel des Betriebs- 
arztes den betroffenen Beschäftigten für 
die Teile der Akte eine Widerspruchs- 
möglichkeit eingeräumt wird, die der 
Vorgänger außerhalb einer Pflichtvor- 
sorge angelegt hat.?* Die medizinischen 
Daten, die ein Patient dem Betriebsarzt 
freiwillig zugänglich gemacht hat, sind 
für den neuen Betriebsarzt zu sperren. 
Dabei handelt es sich um eine medizin- 
spezifische Form der Einschränkung der 
Verarbeitung (vgl. Art. 18 DSGVO). Bei 
einem Wechsel des Betriebsarztes darf 
der Nachfolger nur mit expliziter Einwil- 
ligung des Betroffenen Zugriff auf die In- 
formationen aus Eignungsuntersuchun- 
gen nehmen (vgl. Art. 18 Abs. 2 DSGVO, 
8 9 Abs. 4 MBOA). 

Der Datenbestand mit Bezug zu Vor- 
sorgemaßnahmen geht an den neuen 
Betriebsarzt über. Die Zustimmung der 
betroffenen Beschäftigten ist nicht erfor- 
derlich. Wohl aber sind die Beschäftigten 
aus Transparenzgründen rechtzeitig und 
umfassend über den geplanten Wechsel 
des Betriebsarztes aufzuklären (z. B. 
durch Mitarbeiter-Rundschreiben).?° Bei 
einem Wechsel des externen Betriebs- 
arztes wird dies zwingend durch Art. 14 
DSGVO gefordert. 

Den Betroffenen ist die Möglichkeit 
einzuräumen, Widerspruch gegen die 
Einsicht in patientenbezogene Informa- 
tionen aus Vorsorgemaßnahmen zu er- 
heben (Art. 21 DSGVO). Mit Blick auf das 
in 82 Abs. 1Nr. 3 ArbMedVV bestehende 
Recht des Beschäftigten, Untersuchun- 
gen abzulehnen, gilt für die Informati- 
onserhebung durch Einsicht in die ge- 
sundheitsbezogene Dokumentation frü- 
herer Untersuchungen nichts anderes. 
Eine Löschung dieser Informationen aus 
Anlass des Arztwechsels kommt im Hin- 
blick auf die zehnjährige und evtl. län- 
gere Aufbewahrungsfiist ärztlicher Un- 
terlagen (s. o. 4.) nicht in Betracht. Die 
gesperrten Unterlagen dürfen nicht vom 
neuen Betriebsarzt beigezogen werden; 
sie sind besonders geschützt im Betrieb 
aufzubewahren, bis die Löschungsfrist 
erreicht ist. Die Verwahrung im Betrieb 
unter Verschluss durch den amtierenden 
Betriebsarzt ist auch aus praktischer 
Sicht sachgerecht, da sich ein Beschäf- 
tigter nach Verlassen des Unternehmens 
bei Bedarfeher an den früheren Arbeitge- 
ber wenden wird als an einen gegebenen- 
falls extern beauftragten Betriebsarzt.” 


Um den Pflichten nach dem ASiG 
und der Verordnung zur arbeitsmedi- 
zinischen Vorsorge (ArbMedVV) ent- 
sprechen zu können, muss ein Zugriff 
auf bestimmte Daten des Vorgängers 
möglich sein. Das gilt für die für die 
arbeitsmedizinische Tätigkeit erforder- 
lichen Stammdaten der Beschäftigten 
und die Angaben, die gegenüber dem 
Arbeitgeber zu attestieren sind, also Art 
und Datum der Vorsorge sowie Datum 
der nächsten Vorsorge. Auch die vom 
Betriebsarzt erstellte Arbeitsplatzbe- 
schreibung steht im Zugriff des Nach- 
folgers. Es macht dabei keinen Unter- 
schied, ob die Dokumentation analog 
oder digital geführt wird. Bei elektro- 
nischer Aktenführung können die Zu- 
griffsmöglichkeiten durch entsprechen- 
de Rechtevergabe gesteuert werden. 

Beim Wechsel eines internen Be- 
triebsarztes verbleiben die patienten- 
bezogenen Unterlagen im Eigentum und 
in der datenschutzrechtlichen Verant- 
wortlichkeit des Arbeitgebers. Wegen 
des Patientengeheimnisses darf der 
Arbeitgeber aber keinen Einblick in die 
Unterlagen nehmen. Er hat sie vielmehr 
dem neu bestellten Betriebsarzt zur Ver- 
fügung zu stellen. 

Beim Wechsel von externen Betriebs- 
ärzten sollte der frühere Betriebsarzt 
seine Dokumentation unmittelbar an 
seinen Nachfolger übergeben, zu dessen 
Bestellung der Arbeitgeber gesetzlich 
verpflichtet ist. Auf diese Weise kommt 
der scheidende Betriebsarzt auch sei- 
ner Verpflichtung aus & 10 Abs. 4 MBOÄ 
nach, dafür Sorge zu tragen, dass seine 
ärztlichen Aufzeichnungen in gehörige 
Obhut gegeben werden. 

Der ausscheidende Betriebsarzt hat 
kein Recht, die von ihm erstellten Unter- 
lagen „mitzunehmen“. Diese sind in Aus- 
übung der gesetzlichen Pflicht nach dem 
ASiG entstanden. Sie verlieren durch den 
Wechsel nicht ihre Funktion gemäß 8 3 
ASiG. Insofern besteht ein Unterschied 
zu Unterlagen, die im Bereich sonstiger 
ärztlicher Praxen entstehen. 

Verantwortlicher im Sinne des Daten- 
schutzrechts bleibt im Falle desinternen 
Betriebsarztes der Betrieb des Arbeitge- 
bers. Im Fall des externen Betriebsarz- 
tes ist dieser bei einem Wechsel gemäß 
dem ASiG verpflichtet, die Dokumenta- 
tion an den übernehmenden externen 
Betriebsarzt oder an den Arbeitgeber 


zu übergeben. Dem ausscheidenden 
Betriebsarzt kann und muss unter Um- 
ständen, z. B. zum Zweck der Geltend- 
machung, Ausübung oder Verteidigung 
von Rechtsansprüchen (vgl. Art.9 Abs. 2 
lit. £fDSGVO), Zugriff auf insofern erfor- 
derliche Daten eingeräumt werden. 

Für Beschäftigte, die ihre Betroffenen- 
rechte (Art. 12 ff. DSGVO, 8 630g BGB) 
wahrnehmen wollen, besteht so weiter- 
hin die Möglichkeit, diese gegenüber ih- 
rem (früheren) Arbeitgeber auszuüben. 
Dieser muss dann über den jeweiligen 
Betriebsarzt dafür sorgen, dass die ent- 
sprechenden patientenbezogenen Un- 
terlagen dem nachfragenden betroffenen 
Arbeitnehmer offenbart werden. 

Die dargestellte Vorgehensweise 
entspricht dem sog. „Zwei-Schrank- 
Modell”, das auch außerhalb des be- 
triebsärztlichen Bereichs für den Wech- 
sel eines Arztes in einer Praxis und die 
Übergabe der bisherigen Dokumenta- 
tion an seinen Nachfolger anzuwenden 
ist.” Der abgebende Arzt behält dabei 
grundsätzlich eine informationsrecht- 
liche Verfügungsbefugnis an den Altak- 
ten und übergibt sie in einem verschlos- 
senen Schrank dem Nachfolger, der 
sich wiederum im Übernahmevertrag 
speziell verpflichtet, den Datenbestand 
zu verwahren und fallbezogen Zugriff 
auf einzelne Akten bzw. Datensätze zu 
nehmen, wenn eine frühere Patientin 
oder ein früherer Patient ihn aufsucht. 
Erfolgt dies, so führt der übernehmen- 
de Arzt die Dokumentation in eigener 
Verantwortung fort. Die alte Akte darf 
dann bei einem entsprechenden Ein- 
verständnis dieses Patienten entnom- 
men und durch den Nachfolger mit der 
laufenden Patientendokumentation des 
Erwerbers zusammengeführt werden. 
Das Einverständnis ist in der Akte zu 
dokumentieren. Dies bedeutet, dass für 
den Nachfolger die datenschutzrechtli- 
che Verfügungsbefugnis über die Akten 
nur eingeschränkt besteht, unabhängig 
davon, ob bzw. für welchen Zeitpunkt 
ein sachenrechtlicher Eigentumsüber- 
gang verabredet wird.?® Bei diesem Mo- 
dell wird also unterschieden zwischen 
der Übertragung des Gewahrsams an 
dem Gesamtaktenbestand und der da- 
ten- bzw. patientenschutzrechtlich 
wesentlich sensibleren konkreten Ein- 
sichtnahme. Bei elektronisch geführ- 
ten Patientendaten ist der alte Bestand 


zu sperren und der Zugriff hierauf z. B. 
mittels Passwort zu sichern. 

Für einen erstmaligen Zugriff auf 
einen Patientendatensatz durch den 
Praxisnachfolger ist die Zustimmung 
des Patienten erforderlich. Liegt diese 
vor, so darf insoweit der Datensatz vom 
Nachfolger freigeschaltet und weiterge- 
nutzt werden. Es wird davon ausgegan- 
gen, dass die Einwilligung eines Pati- 
enten in die Übernahme durch einen 
Nachfolger die gesamte Patientenakte 
umfasst. Bringt ein Patient jedoch zum 
Ausdruck, dass nur Teile der Akte bzw. 
der Unterlagen übernommen werden 
sollen, so muss dieser Wunsch berück- 
sichtigt werden (vgl. 8 9 Abs. 4MBOÄ).? 

Um Probleme bei der Aktenübergabe 
bei Aufgabe der Tätigkeit als externer 
Betriebsarzt zu umgehen, empfiehlt 
sich eine vertragliche Vereinbarung mit 
dem Unternehmen des Arbeitgebers, 
dass die Altakten entsprechend dem 
„Zwei-Schrank-Modell” an den Nachfol- 
ger übergeben werden. 
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Werner Hülsmann 


Datenschutzrechtliche Aspekte der Verarbeitung von 
Gesundheits- und Sozialdaten bei Personenschäden 
durch Sozialversicherungen und in Regress genommene 
Haftpflichtversicherungen 


Bei Unfällen mit Personenschäden, die 
durch Dritte verursacht werden, über- 
nimmt gewöhnlich die entsprechende 
Sozialversicherung der geschädigten 
Person (Gesetzliche Krankenkasse, Un- 
fallversicherung, Berufsgenossenschaft) 
erst einmal die Behandlungskosten, 
nimmt aber dann die Haftpflichtversi- 
cherung der den Unfall verursachenden 
Person in Regress. Die Haftpflichtver- 
sicherungen wiederum nehmen für die 
Bearbeitung bzw. Abwehr dieser Regress- 
forderungen häufig Dienstleister in An- 
spruch. Die Rechtsgrundlagen für die da- 
mit verbundenen Datenverarbeitungen 
und Datenweitergaben werden in diesem 
Artikel! erörtert. 


1. Einleitung 


Für die Verarbeitung personenbezo- 
gener Daten (im Folgenden: „Daten“) 
gilt ein sogenanntes Verbot mit Erlaub- 
nisvorbehalt. Dies bedeutet, dass der 
Verantwortliche? für jede Verarbeitung 
personenbezogener Daten eine Erlaub- 
nis benötigt. Ein wichtiger Hinweis sei 
hier erlaubt: Die Einwilligung der be- 
troffenen Person ist nur eine von meh- 
reren Möglichkeiten für eine Erlaubnis. 
Die Erlaubnisse für die Verarbeitung von 
personenbezogenen Daten sind für die 
hierzu betrachtenden Institutionen und 
Unternehmen grundsätzlich im Art. 6 
Abs. 1 der EU-Datenschutz-Grundver- 
ordnung (DSGVO) geregelt. Erlaubt sind 
danach Datenverarbeitungen 
a) auf Grund der wirksamen Einwilligung 

der betroffenen Personen, 
b)zur Anbahnung oder Erfüllung eines 

Vertrags mit der betroffenen Person, 
co) zur Erfüllung gesetzlicher Verpflich- 

tungen, 
d)„um lebenswichtige Interessen der 

betroffenen Person oder einer ande- 
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ren natürlichen Person zu schützen”, 

e) soweit sie erforderlich für die Wahr- 
nehmung einer Aufgabe sind, „die im 
öffentlichen Interesse liegt oder in 
Ausübung öffentlicher Gewalt erfolgt, 
die dem Verantwortlichen übertragen 
wurde” oder 

f) auf der Basis einer Abwägung der In- 
teressen von Verantwortlichen und 
den von der Verarbeitung betroffenen 
Personen. 


2. Verarbeitung von personenbezoge- 
nen Gesundheitsdaten 


Bei der Verarbeitung personenbezo- 
gener Daten im Zusammenhang mit der 
Regulierung von Personenschäden sind 
allerdings bestimmte Besonderheiten zu 
beachten. Zum einen handelt es sich bei 
diesen Daten um Sozialdaten im Sinne des 
8 67 Abs. 2 Sozialgesetzbuch (SGB) X, die 
gemäß Art 35 SGB I dem Sozialgeheimnis 
unterliegen. Zum anderen handelt es sich 
auch um Gesundheitsdaten, die gemäß 
Art. 9 Abs. 1 DSGVO zu den besonderen 
Kategorien personenbezogener Daten 
gehören und deren Verarbeitung in Art. 9 
Abs. 1 DSGVO untersagt wird. Von diesem 
Verbot gibt es allerdings auch Ausnah- 
men. Soregelt Art. 9 Abs. 2 DSGVO: 
„Absatz 1 gilt nicht in folgenden Fällen: 
a) Die betroffene Person hat in die Ver- 

arbeitung der genannten personenbe- 

zogenen Daten für einen oder mehrere 
festgelegte Zwecke ausdrücklich ein- 
gewilligt, es sei denn, nach Unions- 
recht oder dem Recht der Mitglied- 
staaten kann das Verbot nach Absatz 

1 durch die Einwilligung der betroffe- 

nen Person nicht aufgehoben werden, 
b) die Verarbeitung ist erforderlich, damit 

der Verantwortliche oder die betrof- 
fene Person die ihm bzw. ihr aus dem 

Arbeitsrecht und dem Recht der sozia- 


len Sicherheit und des Sozialschutzes 
erwachsenden Rechte ausüben und 
seinen bzw. ihren diesbezüglichen 
Pflichten nachkommen kann, soweit 
dies nach Unionsrecht oder dem Recht 
der Mitgliedstaaten oder einer Kollek- 
tivvereinbarung nach dem Recht der 
Mitgliedstaaten, das geeignete Garan- 
tien für die Grundrechte und die Inter- 
essen der betroffenen Person vorsieht, 
zulässig ist, 

c) die Verarbeitung ist zum Schutz le- 
benswichtiger Interessen der betrof- 
fenen Person oder einer anderen na- 
türlichen Person erforderlich und die 
betroffene Person ist aus körperlichen 
oder rechtlichen Gründen außerstan- 
de, ihre Einwilligung zu geben, 

d)die Verarbeitung erfolgt auf der 
Grundlage geeigneter Garantien 
durch eine politisch, weltanschau- 
lich, religiös oder gewerkschaftlich 
ausgerichtete Stiftung, Vereinigung 
oder sonstige Organisation ohne Ge- 
winnerzielungsabsicht im Rahmen ih- 
rerrechtmäßigen Tätigkeiten und un- 
ter der Voraussetzung, dass sich die 
Verarbeitung ausschließlich auf die 
Mitglieder oder ehemalige Mitglieder 
der Organisation oder auf Personen, 
die im Zusammenhang mit deren Tä- 
tigkeitszweck regelmäßige Kontakte 
mit ihr unterhalten, bezieht und die 
personenbezogenen Daten nicht ohne 
Einwilligung der betroffenen Perso- 
nen nach außen offengelegt werden, 

e) die Verarbeitung bezieht sich auf per- 
sonenbezogene Daten, die die betrof- 
fene Person offensichtlich öffentlich 
gemacht hat, 

f) die Verarbeitung ist zur Geltendma- 
chung, Ausübung oder Verteidigung 
von Rechtsansprüchen oder bei Hand- 
lungen der Gerichte im Rahmen ihrer 
Justiziellen Tätigkeit erforderlich, 


g) die Verarbeitung ist auf der Grundlage 
des Unionsrechts oder des Rechts ei- 
nes Mitgliedstaats, das in angemesse- 
nem Verhältnis zu dem verfolgten Ziel 
steht, den Wesensgehalt des Rechts 
auf Datenschutz wahrt und angemes- 
sene und spezifische Maßnahmen zur 
Wahrung der Grundrechte und Inte- 
ressen der betroffenen Person vor- 
sieht, aus Gründen eines erheblichen 
öffentlichen Interesses erforderlich, 

h)die Verarbeitung ist für Zwecke der 
Gesundheitsvorsorge oder der Ar- 
beitsmedizin, für die Beurteilung der 
Arbeitsfähigkeit des Beschäftigten, 
für die medizinische Diagnostik, die 
Versorgung oder Behandlung im Ge- 
sundheits- oder Sozialbereich oder 
für die Verwaltung von Systemen und 
Diensten im Gesundheits- oder Sozi- 
albereich auf der Grundlage des Uni- 
onsrechts oder des Rechts eines Mit- 
gliedstaats oder aufgrund eines Ver- 
trags mit einem Angehörigen eines 
Gesundheitsberufs und vorbehaltlich 
der in Absatz 3 genannten Bedingun- 
gen und Garantien erforderlich, 

i) die Verarbeitung ist aus Gründen des 
öffentlichen Interesses im Bereich 
der öffentlichen Gesundheit, wie dem 
Schutz vor schwerwiegenden grenz- 
überschreitenden Gesundheitsgefah- 
ren oder zur Gewährleistung hoher 
Qualitäts- und Sicherheitsstandards 
bei der Gesundheitsversorgung und 
bei Arzneimitteln und Medizinpro- 
dukten, auf der Grundlage des Uni- 
onsrechts oder des Rechts eines Mit- 
gliedstaats, das angemessene und 
spezifische Maßnahmen zur Wahrung 
der Rechte und Freiheiten der betrof- 
fenen Person, insbesondere des Be- 
rufsgeheimnisses, vorsieht, erforder- 
lich, oder 

)) die Verarbeitung ist auf der Grundlage 
des Unionsrechts oder des Rechts ei- 
nes Mitgliedstaats, das in angemesse- 
nem Verhältnis zu dem verfolgten Ziel 
steht, den Wesensgehalt des Rechts 
auf Datenschutz wahrt und angemes- 
sene und spezifische Maßnahmen zur 
Wahrung der Grundrechte und Inter- 
essen der betroffenen Person vorsieht, 
für im öffentlichen Interesse liegende 
Archivzwecke, für wissenschaftliche 
oder historische Forschungszwecke 
oder für statistische Zwecke gemäß 
Artikel 89 Absatz 1 erforderlich.”? 
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Zu den in Buchstabe h) genann- 
ten Zwecken dürfen die Daten nur von 
Fachpersonal, das einem Berufsgeheim- 
nis nach nationalem Recht unterliegt 
(wie z.B. das Patientengeheimnis) oder 
unter der Verantwortung derartigen 
Fachpersonals verarbeitet werden.“ Die 
Nationalstaaten dürfen gemäß Art. 9 
Abs. 4 DSGVO „zusätzliche Bedingun- 
gen, einschließlich Beschränkungen, 
einführen oder aufrechterhalten, so- 
weit die Verarbeitung von genetischen, 
biometrischen oder Gesundheitsdaten 
betroffen ist.“ Somit sind die in den SGB 
enthaltenen besonderen Regelungen 
zum Umgang mit Sozialdaten, soweit sie 
Gesundheitsdaten sind, auch nach dem 
Wirksamwerden der DSGVO zulässig. 

Ein weiterer wesentlicher Aspekt bei 
der Verarbeitung von Gesundheitsda- 
ten ist der Umstand, dass als Rechts- 
grundlage und damit als Erlaubnis für 
die Verarbeitung von Gesundheitsda- 
ten nur und ausschließlich die in Art. 9 
Abs. 2 DSGVO genannten Ausnahmen 
bzw. die aufgrund von Art. 9 Abs. 4 
DSGVO in nationalen Gesetzen geregel- 
ten Ausnahmen herangezogen werden 
dürfen. Somit sind die Erlaubnisse aus 
Art. 6 Abs. 1 DSGVO allein für Gesund- 
heitsdaten nicht nutzbar.” Damit fällt 
auch die - für „normale“ personenbezo- 
gene Daten mögliche - Interessenabwä- 
gung aus Art. 6 Abs. 1 Buchst. f) DSGVO 
als Erlaubnis zur Verarbeitung beson- 
derer Kategorien personenbezogener 
Daten und damit zur Verarbeitung von 
Gesundheitsdaten weg. 

Des Weiteren ist zu beachten, dass So- 
zialdaten gemäß 8 78 SGB X auch dann 
noch einem besonderen Schutz unter- 
liegen, wenn sie - wie es bei Regressan- 
sprüchen regelmäßig geschieht - von 
Sozialversicherungsträgern an Stellen 
übermittelt werden, die nicht dem Sozi- 
algeheimnis aus $ 35 SB I unterliegen. 
So heißt esin 8 78SGB X Abs. 1 Sätze 1 
bis 3: 

„Personen oder Stellen, die nicht in 
& 35 des Ersten Buches genannt und 
denen Sozialdaten übermittelt worden 
sind, dürfen diese nur zu dem Zweck 
verarbeiten, zu dem sie ihnen befugt 
übermittelt worden sind. Eine Übermitt- 
lung von Sozialdaten nach den 88 68 bis 
77 oder nach einer anderen Rechtsvor- 
schrift in diesem Gesetzbuch an eine 
nicht-öffentliche Stelle auf deren Er- 


suchen hin ist nur zulässig, wenn die- 
se sich gegenüber der übermittelnden 
Stelle verpflichtet hat, die Daten nur für 
den Zweck zu verarbeiten, zu dem sie ihr 
übermittelt werden. Die Dritten haben 
die Daten in demselben Umfang geheim 
zu halten wie die in 8 35 des Ersten Bu- 
ches genannten Stellen.” 


3. Formen der Weitergabe von perso- 
nenbezogenen Daten 


Während das alte Bundesdaten- 
schutzgesetz (BDSG) nur zwei Formen 
der Datenweitergabe im Zusammenhang 
mit einer Dienstleistungserbringung 
kannte, nämlich die Auftragsdatenver- 
arbeitung (wie die Auftragsverarbei- 
tung im alten Datenschutzrecht hieß) 
und die Datenübermittlung (im Rahmen 
einer sogenannten Funktionsübertra- 
gung), kennt die DSGVO auch noch das 
Konstrukt der gemeinsamen Verant- 
wortlichen. Alle drei Formen werden im 
Folgenden kurz dargestellt. Auf die Auf- 
tragsverarbeitung (AV) wird anschlie- 
ßend näher eingegangen. 


3.1. Funktionsübertragung 


Für den Begriff der sogenannten Funk- 
tionsübertragung gab und gibt es keine 
Legaldefinition. Auch in den alten Daten- 
schutzgesetzen kam dieser Begriff nicht 
vor. Allerdings wurde und wird der Begriff 
„Funktionsübertragung” in der juristi- 
schen Fachliteratur u.a. dazu verwendet, 
um die Datenübermittlung zum Zwecke 
der Beauftragung einer mehr oder weni- 
ger konkreten Dienstleistung von ande- 
ren Datenübermittlungen (wie sie z.B. 
im Bereich des Adresshandels erfolgen) 
zu unterscheiden. In der Begründung 
zum „Entwurf eines Gesetzes zur Fortent- 
wicklung der Datenverarbeitung und des 
Datenschutzes” der Bundesregierung aus 
dem Jahre 1989 wird der Begriff „Funkti- 
onsübertragung” in Abgrenzung zur Auf- 
tragsdatenverarbeitung genannt: 

„Wie bisher handelt es sich nicht um Auf- 
tragsdatenverarbeitung im Sinne dieser Vor- 
schrift, wenn neben der Datenverarbeitung 
auch die zugrundeliegende Aufgabe über- 
tragen wird (Funktionsübertragung). In 
diesem Falle hat derjenige, dem die Funkti- 
on übertragen wird, alle datenschutzrecht- 
lichen Pflichten, insbesondere die Ansprü- 
che des Betroffenen, zu erfüllen. *° 
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In dieser Bedeutung gibt es die Funk- 
tionsübertragung nach wie vor, auch 
die DSGVO hat nichts daran geändert. 

Im Falle einer Datenübermittlung im 
Rahmen einer „Funktionsübertragung” 
muss der abgebende Verantwortliche 
eine Rechtsgrundlage, also eine Erlaub- 
nis, für diese Datenübermittlung haben. 
Die empfangende Stelle (Institution 
oder Firma) muss selbst eine eigenstän- 
dige Erlaubnis für die Verarbeitung der 
erhaltenen Daten haben. Die empfan- 
gende Stelle muss zudem alle daten- 
schutzrechtlichen Pflichten, die für Ver- 
antwortliche im Sinne des Art. 4 Ziff. 7 
DSGVO gelten, erfüllen. 


3.2. Gemeinsame Verantwortliche 


Im alten BDSG war das Konstrukt der 
gemeinsamen Verantwortlichen nicht 
enthalten. Unter der DSGVO ist dieses 
Konstrukt EU-weit nutzbar: 

„Legen zwei oder mehr Verantwortliche 
gemeinsam die Zwecke der und die Mittel 
zur Verarbeitung fest, so sind sie gemein- 
sam Verantwortliche. Sie legen in einer 
Vereinbarung in transparenter Form fest, 
wervon ihnen welche Verpflichtung gemäß 
dieser Verordnung erfüllt, insbesondere 
was die Wahrnehmung der Rechte der be- 
troffenen Person angeht, und wer welchen 
Informationspflichten gemäß den Artikeln 
13 und 14 nachkommt, sofern und soweit 
die jeweiligen Aufgaben der Verantwort- 
lichen nicht durch Rechtsvorschriften der 
Union oder der Mitgliedstaaten, denen 
die Verantwortlichen unterliegen, festge- 
legt sind. In der Vereinbarung kann eine 
Anlaufstelle für die betroffenen Personen 
angegeben werden. ” 

Hier müssen alle beteiligten Verant- 
wortlichen eine Rechtsgrundlage, also 
eine Erlaubnis zur Verarbeitung der per- 
sonenbezogenen Daten haben. Es reicht 
hier keinesfalls aus, dass nur einer der 
Verantwortlichen eine Erlaubnis für die 
Verarbeitung personenbezogener Daten 
nachweisen kann. 


3.3. Auftragsverarbeitung 


Grundsätzlich hat sich am Konstrukt 
der Auftragsdatenverarbeitung, wie die 
Auftragsverarbeitung im alten Daten- 
schutzrecht hieß, nicht viel geändert. 
Der Auftraggeber (jetzt: der Verantwort- 
liche) bleibt auch nach der DSGVO für 
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die Verarbeitung der personenbezoge- 
nen Daten beim Auftragnehmer (jetzt: 
der Auftragsverarbeiter) verantwort- 
lich. Der Auftragsverarbeiter istin erster 
Linie nur dafür verantwortlich, die vom 
Verantwortlichen erhaltenen Daten im 
Rahmen der Auftragsverarbeitung nur 
entsprechend des konkreten Auftrags 
und eventueller ergänzender Weisungen 
des Verantwortlichen und damit auch 
nur zu dessen Zwecken zu verarbeiten. 
Eine Verarbeitung zu eigenen Zwecken 
des Auftragsverarbeiters ist im Rahmen 
der Auftragsverarbeitung unzulässig. 
Auf der anderen Seite benötigt der 
Auftragsverarbeiter keine eigene 
Rechtsgrundlage für die Verarbeitung 
der personenbezogenen Daten, die er 
vom Verantwortlichen zur Erfüllung des 
Auftrags erhält. Der Auftragsverarbeiter 
zählt im Rahmen der Auftragsverarbei- 
tung nicht als Dritter gegenüber dem 
Verantwortlichen. Sofern also der Ver- 
antwortliche die personenbezogenen 
Daten verarbeiten darf, darf er diese 
personenbezogenen Daten auch an ei- 
nen Auftragsverarbeiter weitergeben, 
der diese Daten dann - aber nur und 
ausschließlich zur Erfüllung des Auf- 
trags - auf Basis des Auftrags und auf 
Basis der Verarbeitungserlaubnis, auf 
die sich der Verantwortliche berufen 
kann, verarbeiten darf. Dies gilt aller- 
dings nur, wenn die in Art. 28 DSGVO 
an die Auftragsverarbeitung gestellten 
Anforderungen sowohl auf Seiten des 
Verantwortlichen als auch auf Seiten 
des Auftragsverarbeiters erfüllt werden. 
Für die Beauftragung von Auftragsver- 
arbeitern durch Sozialversicherungsträ- 
gerist ergänzend zu Art. 28DSGVO noch 
& 80 SGB 10 zu beachten. So müssen 
Sozialversicherungsträger ihre Rechts- 
oder Fachaufsicht „rechtzeitig vor der 
Auftragserteilung” über diese informie- 
ren. Eine Beauftragung von nichtöffent- 
lichen Stellen ist nur zulässig, 
„wenn 
1. beim Verantwortlichen sonst Störungen 
im Betriebsablauf auftreten können 
oder 
2.die übertragenen Arbeiten beim Auf- 
tragsverarbeiter erheblich kosten- 
günstiger besorgt werden können.“ 
(8 80 Abs. 3 SGB X) 


Ausgenommen hiervon sind nur „die 
Prüfung oder Wartung automatisierter 


Verfahren oder von Datenverarbeitungs- 
anlagen” durch nichtöffentliche Stellen. 


4. Rechtliche Anforderungen an die 
Auftragsverarbeitung 


Eine wesentliche Anforderung an die 
Auftragsverarbeitung ist, dass der Ver- 
antwortliche die Zwecke und Mittel der 
Verarbeitung der personenbezogenen 
Daten bestimmt. Eine Bestimmung der 
Mittel durch den Verantwortlichen ist 
allerdings auch dann gegeben, wenn 
der Auftragsverarbeiter nur seine be- 
reits vorhandenen Mittel (Infrastruktur, 
Server, etc.) anbietet, da bereits durch 
die Auswahl des Auftragsverarbeiters 
in diesem Fall die Mittelbestimmung 
erfolgt. Art. 28 Abs. 10 DSGVO sagt aus- 
drücklich: 

„Unbeschadet der Artikel 82, 83 und 84 
gilt ein Auftragsverarbeiter, der unter Ver- 
stoß gegen diese Verordnung die Zwecke 
und Mittel der Verarbeitung bestimmt, in 
Bezug auf diese Verarbeitung als Verant- 
wortlicher. ”? 

Weitere Anforderungen an eine da- 
tenschutzkonforme Auftragsdatenver- 
arbeitung sind: 

« Sorgfältige Auswahl des Auftragsver- 
arbeiters - So muss der Auftragsverar- 
beiter nachweisen können, dass er die 
gemäß Art. 32 DSGVO erforderlichen 
technischen und organisatorischen 
Maßnahmen durchführt, so dass „die 
Verarbeitung im Einklang mit den 
Anforderungen dieser Verordnung er- 
folgt und den Schutz der Rechte der 
betroffenen Person gewährleistet.”° 
Einsatz von Subunternehmern (Un- 
terauftragsverarbeitern) nur mit 
schriftlicher Genehmigung des Ver- 
antwortlichen. 
Die Auftragsverarbeitung erfolgt auf 
der Basis eines Vertrags (AV-Vertrag, 
schriftlich oder in elektronischer 
Form) zwischen Verantwortlichen 
und Auftragsverarbeiter. In diesem 
Vertrag sind festzulegen: 
- Gegenstand und Dauer der Verar- 
beitung, 
- Art und Zweck der Verarbeitung, 
die Art der personenbezogenen Da- 
ten, 
die Kategorien betroffener Perso- 
nen und 
die Pflichten und Rechte des Ver- 
antwortlichen. 
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« Der Auftragsverarbeiter darf „die per- 
sonenbezogenen Daten nur auf doku- 
mentierte Weisung des Verantwortli- 
chen“! verarbeiten. 

Der Auftragsverarbeiter „gewährleis- 
tet, dass sich die zur Verarbeitung der 
personenbezogenen Daten befugten 
Personen zur Vertraulichkeit ver- 
pflichtet haben oder einer angemes- 
senen gesetzlichen Verschwiegen- 
heitspflicht unterliegen”.'! 

Der Auftragsverarbeiter muss sicher- 
stellen, dass er „nach Abschluss der 
Erbringung der Verarbeitungsleistun- 
gen alle personenbezogenen Daten 
nach Wahl des Verantwortlichen ent- 
weder löscht oder zurückgibt und die 
vorhandenen Kopien löscht.”"? 


Eine Verarbeitung der vom Verant- 
wortlichen oder in dessen Auftrag er- 
haltenen personenbezogenen Daten für 
eigene Zwecke des Auftragsverarbeiters 
ist im Rahmen der Auftragsverarbei- 
tung nicht zulässig. Eine Zusammen- 
führung von Daten unterschiedlicher 
Verantwortlicher (Auftraggeber) ist im 
Rahmen einer Auftragsverarbeitung 
auch dann unzulässig, wenn eine solche 
Zusammenführung der Erfüllung der 
einzelnen Aufträge dienlich wäre. Eine 
derartige Zusammenführung wäre nur 
dann datenschutzrechtlich zulässig, 
wenn die verschiedenen Auftraggeber 
eine Rechtsgrundlage für die Übermitt- 
lung der Daten an alle anderen Verant- 
wortlichen hätten oder als gemeinsam 
Verantwortliche im Sinne des Art. 26 
DSGVO (s.o.) agieren würden. Hierzu 
wäre es aber erforderlich, dass seitens 
der Verantwortlichen ein Erlaubnistat- 
bestand für die gemeinsam verantwort- 
liche Verarbeitung und insbesondere 
für das Zusammenführen ihrer Daten 
vorliegt. Im Bereich der Verarbeitung 
von Gesundheits- und Sozialdaten kann 


Jetzt DVD-Mitglied werden: 


aber grundsätzlich davon ausgegangen 
werden, dass derartige Erlaubnistatbe- 
stände nicht vorliegen. 


4.1. Auftragsverarbeitung und 
Berufsgeheimnisse 


Zur Vollständigkeit erfolgt an dieser 
Stelle noch ein kurzer Hinweis auf die 
Berufsgeheimnisse aus & 203 Strafge- 
setzbuch (StGB): Lange Zeit war es strit- 
tig, ob die Beauftragung eines Dienst- 
leisters im Rahmen der Auftragsverar- 
beitung eine unbefugte Offenbarung von 
Daten, die einem Berufsgeheimnis un- 
terliegen, darstellt oder nicht. Durch die 
aktuelle Formulierung von 8 203 Abs. 3 
StGB ist klargestellt, dass auch für Daten, 
die einem Berufsgeheimnis unterliegen, 
eine den Anforderungen des Art. 28 
DSGVO genügende Auftragsverarbeitung 
keine unbefugte Offenbarung darstellt 
und somit zulässig ist, ohne dass von 
den betroffenen Personen eine Schwei- 
gepflichtentbindung erforderlich wäre. 
Allerdings muss sichergestellt sein, dass 
der Dienstleister (Auftragsverarbeiter) 
nur auf die dem Berufsgeheimnis unter- 
liegenden Daten zugreifen kann, die er 
für die Erbringung der Dienstleistung 
zwingend benötigt. 


5. Fazit 


Die Auftragsverarbeitung ist auch im 
Bereich der Verarbeitung von Gesund- 
heits- und Sozialdaten eine datenschutz- 
rechtlich zulässige Möglichkeit, sofern 
der Verantwortliche diese Gesundheits- 
daten zu eigenen Zwecken gemäß Art. 9 
Abs. 2 DSGVO oder gemäß bereichsspe- 
zifischer Gesetze, wie beispielsweise 
den Sozialgesetzbüchern, verarbeiten 
darf, der Auftragsverarbeiter die Daten 
nur zu den Zwecken zu denen er sie er- 
halten hat und nur für den jeweiligen 
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Verantwortlichen verarbeitet und im 
Übrigen die oben genannten Bedingun- 
gen eingehalten werden. 


1 Dieser Artikel ist eine überarbeitete Fas- 
sung von Teil 1 der Erstveröffentlichung 
in: Huber, Kornes, Mathis, Thoenneßen 
(Hrsg.): Fachtagung Personenschaden, 
Nomos Verlagsgesellschaft, Seiten 97 - 
106 


Laut Art. 4 Ziff. 7 DSGVO bezeichnet 

„ Verantwortlicher’ die natürliche oder 
juristische Person, Behörde, Einrich- 
tung oder andere Stelle, die allein oder 
gemeinsam mit anderen über die Zwecke 
und Mittel der Verarbeitung von perso- 
nenbezogenen Daten entscheidet;”, also 
das Unternehmen oder die Institution, 
in dessen oder deren Verantwortung die 
Verarbeitung personenbezogener Daten 
erfolgt. Hierzu gehören im hiesigen 
Zusammenhang zumindest die Sozial- 
leistungsträger ebenso wie die Haft- 
pflichtversicherungen. 


Art. 9 Abs. 2 DSGVO 
4 vgl. Art. 3 Abs. 9 DSGVO 


Dies ergibt sich zum einen aus der 
strikten Untersagung aus Art. 9 Abs. 1 
DSGVO und zum anderen daraus, dass die 
Einwilligung der betroffenen Person als 
Ausnahme der Untersagung in Art. 9 
Abs. 2 Buchst. a) DSGVO ausdrück- 

lich genannt ist. Bei einer alleinigen 
Anwendbarkeit von Art. 6 Abs. 1 DSGVO 
wäre dies nicht erforderlich gewesen. 


BT-Drucksache Nr. 11/4306 vom 
06.04.1989, S. 43, online verfügbar 
unter https://dipbt.bundestag.de/doc/ 
btd/11/043/1104306.pdf, abgerufen am 
02.10.2019 


Art. 26 Abs. 1 DSGVO 


8 Die Art. 82 bis 84 DSGVO regeln „Haftung 
und Recht auf Schadenersatz“, „Allge- 
meine Bedingungen für die Verhängung 
von Geldbußen” und „Sanktionen“. 


9 Art. 28 Abs. 1 DSGVO 

10 Art. 28 Abs. 3 Buchst. a) DSGVO 
11 Art. 28 Abs. 3 Buchst. b) DSGVO 
12 Art. 28 Abs. 3 Buchst. b) DSGVO 
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Werner Hülsmann 


Sammlung, Auswertung und Verarbeitung von Gesund- 
heitsdaten durch die Haftpflichtversicherer über ihre 
Dienstleister am Beispiel ACTINEO: Datenschutzkonfor- 
mität vor dem Hintergrund des Rechts auf informatio- 
nelle Selbstbestimmung und der DSGVO 


1. Einleitung 


In diesem Artikel! geht es in erster Li- 
nie um eine Betrachtung der Aktivitäten 
der Sammlung, Auswertung und Verar- 
beitung von Gesundheitsdaten durch die 
Haftpflichtversicherungen und durch 
deren beauftragte Dienstleister am Bei- 
spiel des Dienstleisters ACTINEO GmbH 
(im Folgenden ACTINEO) aus Sicht der 
betroffenen Personen, also aus Sicht der 
geschädigten Personen, die aufgrund 
eines durch eine oder einen Dritten ver- 
ursachten Personenschadensfalles eine 
medizinische Behandlung benötigen. 
Hierbei werden die Leistungen im Regel- 
fall erst einmal von den Sozialversiche- 
rungsträgern (insbesondere Krankenver- 
sicherung, Rentenversicherung, gesetz- 
liche Unfallversicherung) übernommen 
und dann mit der Haftpflichtversiche- 
rung des Schädigers abgerechnet. 

Der als Beispiel ausgewählte Dienst- 
leisterist zwar nicht der einzige, scheint 
aber doch der am weitesten verbreitete 
Dienstleister zu sein, der von den Haft- 
pflichtversicherungen beauftragt wird, 
um die ihnen im Rahmen der Regulie- 
rung von Haftpflichtschäden von den 
Sozialversicherungsträgern gestellten 
Abrechnungen zu prüfen’. 

ACTINEO bezeichnet sich selbst als 
„der deutsche Marktführer für die Digi- 
talisierung und medizinische Einschät- 
zung von Personenschäden“”.? 

„Zu den Leistungen von ACTINEO bei 
der Personenschadenregulierung gehö- 
ren unter anderem 
« die Beschaffung, Strukturierung und 

Plausibilisierung medizinischer Da- 

ten, 

« die Normierung und Digitalisierung 
von Personenschäden, 
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« die Entwicklung und der Aufbau von 
Prädiktionsmodellen und KI-Lösun- 
gen im Personenschaden, 

« die Prozessautomatisierung sowie di- 
gitale Instrumente für die Steuerung 
und das Controlling im Personenscha- 
den, 

« die systematische und medizinisch 
fundierte Rechnungsprüfung, 

« die Einschätzung und Erstellung me- 
dizinischer Gutachten, Pflegegutach- 
ten und Überleitungsmanagement 
sowie 

« ein toolgestütztes medizinisches Vor- 
Ort-Assessment.”* 


Bereits aus dieser kurzgefassten Leis- 
tungsbeschreibung wird deutlich, dass 
hier wesentlich mehr Dienstleistungen 
angeboten werden, als im Rahmen einer 
AuftragsverarbeitungimSinnedesArt.28 
DSGVO erbracht werden können. Viel- 
mehr verarbeitet ATINEO offensichtlich 
einen Großteil der Schadensdaten zu 
eigenen Zwecken, wie z.B. zum Zwecke 
einer systematischen und medizinisch 
fundierten Rechnungsprüfung. Eine 
medizinisch fundierte Rechnungsprü- 
fung kann nicht als Auftragsverarbei- 
tung angeboten werden, da eine solche 
weit über die eigentliche Datenverarbei- 
tung hinausgeht. Auch die Entwicklung 
und der Aufbau von Prädiktionsmodel- 
len und KI-Lösungen im Bereich Per- 
sonenschaden lässt sich nicht als Auf- 
tragsverarbeitung darstellen. 

Aus datenschutzrechtlicher Sicht 
geht es bei den personenbezogenen 
Daten, die zur Abrechnung von Perso- 
nenschadensfällen anfallen, um So- 
zialdaten und um Gesundheitsdaten. 
Des Weiteren ist 8 203 Strafgesetzbuch 
(StGB) „Verletzung von Privatgeheim- 


nissen” zu beachten. Eine Darstellung 
der formalen datenschutzrechtlichen 
Zulässigkeit findet sich im vorgehenden 
Artikel in dieser Ausgabe°. 


2. Die Gesundheit und die „Gesund- 
heitswirtschaft” 


Wer sich intensiver mit dem Gesund- 
heitssystem beschäftigt, wird unwei- 
gerlich auf einen Begriff stoßen: „Ge- 
sundheitswirtschaft“. Das Bundesmi- 
nisterium für Wirtschaft und Energie 
(BMWi) veröffentlicht immer wieder 
Pressemitteilungen, in denen es um die 
„Gesundheitswirtschaft” geht‘. Wohlge- 
merkt, nicht das Bundesministerium für 
Gesundheit, sondern das Bundesminis- 
terium, das für die Wirtschaft zuständig 
ist. Interessant ist in diesem Zusam- 
menhang auch der Branchenfokus „Ge- 
sundheitswirtschaft” des BMWi.’ 

Eigentlich sollte es bei der Gesundheit 
um den Menschen gehen und nicht um 
wirtschaftliche Aspekte. Gesundheit 
sollte kein Gut sein, das Renditean- 
forderungen unterliegt. Sicher ist es 
wünschenswert, wenn unser Gesund- 
heitssystem effizient und wirtschaft- 
lich funktioniert, also unter anderem 
unnötige Kosten vermieden werden, 
Heilmittel eingesetzt werden, die für 
die Heilung förderlich sind. Aber genau 
hier stellen sich die Fragen: Wer ent- 
scheidet, welche Kosten im konkreten 
Einzelfall nötig oder unnötig sind? Wer 
entscheidet, welche Heilmittel im kon- 
kreten Einzelfall für die Heilung förder- 
lich sind? Sollten diese Entscheidungen 
nicht unter den gesellschaftlich und po- 
litisch gewollten Rahmenbedingungen 
zwischen Arzt oder Ärztin und Patient 
oder Patientin geklärt werden? 
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Alleine der Begriff „Gesundheitswirt- 
schaft“ degradiert den Menschen, ins- 
besondere den kranken Menschen zur 
Ware, zum bloßen Objekt. Aber auch 
die Personen, die die medizinische 
Leistung erbringen, die Ärztinnen und 
Ärzte, Krankenschwestern und Kran- 
kenpfleger, Therapeutinnen und The- 
rapeuten werden durch den Begriff der 
„Gesundheitswirtschaft” zur Ware, zum 
Objekt degradiert. Dabei sollte doch 
der Mensch im Mittelpunkt des Gesund- 
heitssystems stehen. 

In einer vermutlich 2015 erstellten 
Präsentation, die von einer Mitarbei- 
terin einer gesetzlichen Krankenversi- 
cherung erstellt wurde, findet sich die 
Aussage: 

„Ca. 20 Prozent der Versicherten verur- 
sachen ca. 80 Prozent der Kosten ... 

... und etwa 80% der Kosten entstehen 
in den letzten beiden Lebensjahren“.® 


An dieser Stelle seien die unter 
dem Aspekt einer renditeorientierten 
„Gesundheitswirtschaft” möglichen 
Schlussfolgerungen und Gedankenex- 
perimente der geneigten Leserin und 
dem geneigten Leser überlassen. Aber 
Vorsicht: Es könnte makaber werden. 


3. Datenschutz und das Recht auf 
informationelle Selbstbestimmung 


3.1. Datenschutz ist ein Grundrecht 


Bereits in der Charta der Grundrechte 
der Europäischen Union (2010/C 83/02, 
EU-Grundrechtecharta) von 2010 wird 
postuliert: 


„Artikel 7 
Achtung des Privat- und Familienlebens 


Jede Person hat das Recht auf Achtung 
ihres Privat- und Familienlebens, ihrer 
Wohnung sowie ihrer Kommunikation. 


Artikel 8 
Schutz personenbezogener Daten 


(1) Jede Person hat das Recht auf Schutz 
der sie betreffenden personenbezogenen 
Daten. 

(2) Diese Daten dürfen nur nach Treu und 
Glauben für festgelegte Zwecke und mit 
Einwilligung der betroffenen Person oder 
auf einer sonstigen gesetzlich geregelten 
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legitimen Grundlage verarbeitet werden. 
Jede Person hat das Recht, Auskunft über 
die sie betreffenden erhobenen Daten zu 
erhalten und die Berichtigung der Daten 
zu erwirken. 

(3) Die Einhaltung dieser Vorschriften 
wird von einer unabhängigen Stelle über- 
wacht.“ 


Die DSGVO setzt dies um und „schützt 
die Grundrechte und Grundfreiheiten 
natürlicher Personen und insbesondere 
deren Recht auf Schutz personenbezo- 
gener Daten” (vgl. Art. 1 Abs. 2 DSGVO). 
Es geht beim Datenschutz also immer 
um den Schutz der Grundrechte der Per- 
sonen, deren Daten verarbeitet werden. 


Erwägungsgrund (EWG) 4 Satz 1 fordert: 

„Die Verarbeitung personenbezogener 
Daten sollte im Dienste der Menschheit 
stehen.“ 


Die englische Version wird da noch 
deutlicher: 

„Ihe processing of personal data 
should be designed to serve mankind.“ 

(zu Deutsch etwa: „Die Verarbeitung 
personenbezogener Daten sollte so ge- 
staltet/entworfen werden, dass sie der 
Menschheit dient.”) 


Das ist ein hehres, aber leider auch 
ein sehr abstraktes Ziel. Der Umsetzung 
und Konkretisierung dieses Ziels dienen 
unter anderem diein Art. 5 Abs. 1 DSGVO 
festgelegten sechs Grundsätze der Da- 
tenverarbeitung. Die Schlagwörter die- 
ser sechs Grundsätze lauten: 


a) „Rechtmäßigkeit, Verarbeitung nach 
Treu und Glauben, Transparenz“ 

b) „Zweckbindung“ 

c) „Datenminimierung“ 

d) „Richtigkeit“ 

e) „Speicherbegrenzung“ 

f) „Integrität und Vertraulichkeit” 


3.2. Das Recht auf informationelle 
Selbstbestimmung 


Älter als die EU-Grundrechtecharta ist 
das sogenannte Volkszählungsurteil des 
Bundesverfassungsgerichts (BVerfG) 
vom 15.12.1983 (BVerfGE 65, 1-71°), 
in dem das Recht auf informationelle 
Selbstbestimmung aus Art. 1 Abs 1 und 
Art. 2 Abs. 1 Grundgesetz (GG) abgelei- 


tet wird. Dort heißt es im ersten Leit- 
satz: 

„Unter den Bedingungen der modernen 
Datenverarbeitung wird der Schutz des 
Einzelnen gegen unbegrenzte Erhebung, 
Speicherung, Verwendung und Weiterga- 
be seiner persönlichen Daten von dem all- 
gemeinen Persönlichkeitsrecht des Art. 2 
Abs. 1 GG in Verbindung mit Art. 1 Abs. 1 
GG umfasst. Das Grundrecht gewährleis- 
tet insoweit die Befugnis des Einzelnen, 
grundsätzlich selbst über die Preisgabe 
und Verwendung seiner persönlichen Da- 
ten zu bestimmen. “'° 


Das Bundesverfassungsgericht führt 
in seiner Begründung aus 

„Individuelle Selbstbestimmung setzt 
aber - auch unter den Bedingungen mo- 
derner Informationsverarbeitungstech- 
nologien - voraus, dass dem Einzelnen 
Entscheidungsfreiheit über vorzuneh- 
mende oder zu unterlassende Handlun- 
gen einschließlich der Möglichkeit gege- 
ben ist, sich auch entsprechend dieser 
Entscheidung tatsächlich zu verhalten. 
Wer nicht mit hinreichender Sicherheit 
überschauen kann, welche ihn betref- 
fende Informationen in bestimmten Be- 
reichen seiner sozialen Umwelt bekannt 
sind, und wer das Wissen möglicher Kom- 
munikationspartner nicht einigermaßen 
abzuschätzen vermag, kann in seiner 
Freiheit wesentlich gehemmt werden, 
aus eigener Selbstbestimmung zu planen 
oder zu entscheiden. Mit dem Recht auf 
informationelle Selbstbestimmung wären 
eine Gesellschaftsordnung und eine diese 
ermöglichende Rechtsordnung nicht ver- 
einbar, in der Bürger nicht mehr wissen 
können, wer was wann und bei welcher 
Gelegenheit über sie weiß. ”"' 


Und weiter: 


„Freie Entfaltung der Persönlichkeit 
setzt unter den modernen Bedingungen 
der Datenverarbeitung den Schutz des 
Einzelnen gegen unbegrenzte Erhebung, 
Speicherung, Verwendung und Weiter- 
gabe seiner persönlichen Daten voraus. 
Dieser Schutz ist daher von dem Grund- 
recht des Art 2 Abs. 1 in Verbindung mit 
Art 1 Abs. 1 GG umfasst. Das Grundrecht 
gewährleistet insoweit die Befugnis des 
Einzelnen, grundsätzlich selbst über die 
Preisgabe und Verwendung seiner per- 
sönlichen Daten zu bestimmen." 
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Zur Nutzung von personenbezogenen 
Daten zu statistischen Zwecken führt 
das BVerfG aus: 

„Es müssen klar definierte Verarbei- 
tungsvoraussetzungen geschaffen wer- 
den, die sicherstellen, dass der Einzelne 
unter den Bedingungen einer automa- 
tischen Erhebung und Verarbeitung der 
seine Person betreffenden Angaben nicht 
zum bloßen Informationsobjekt wird.” 


3.3. Der Mensch als Individuum 


Aus den beiden vorherigen Abschnit- 
ten wird deutlich, dass der Mensch auch 
in der modernen Informationsgesell- 
schaft immer als Individuum, als Sub- 
jekt gesehen werden muss und nie als 
bloßes Objekt, das auf seine Daten re- 
duziert wird, gesehen werden darf. 


4. Datensammlung durch die Haft- 
pflichtversicherungen und ihren 
Dienstleister ACTINEO 


ACTINEO wirbt auf ihrer Website mit 
dem Spruch: 

„Wir tun mehr, weil am Ende der Nut- 
zen zählt. *'* 

Die Frage ist nur, Nutzen für wen? Bei 
weiterer Sichtung der Website wird sehr 
schnell deutlich, dass es hier nicht um 
den Nutzen für die geschädigte Person 
geht, sondern um den Nutzen für den 
Kunden von ACTINEO, der Haftpflicht- 
versicherung, die von einer Sozialver- 
sicherung bezüglich der Übernahme 
der Leistungen in einem Personen- 
schaden-Haftpflichtfall in Regress ge- 
nommen wird. 

So schreibt ACTINEO: 

„Seit 2009 stehen wir für Innovation 
und Kostenoptimierung im Personen- 
schaden. Inzwischen sind wir der deut- 
sche Marktführer für die Digitalisierung 
und medizinische Einschätzung in diesem 
Bereich. Mit unseren datengetriebenen 
und medizinisch fundierten Produkten 
stehen wir an der Spitze der Entwicklung 
von Automatisierung und effizientem 
Datenmanagement in der Versicherungs- 
branche. Für Versicherer liefern wir einen 
starken Mehrwert für alle Prozesse in der 
Personenschadenregulierung und tragen 
damit zum Wertschöpfungsprozess unse- 
rer Kunden bei.” 

Zur Bearbeitung von 610.000 Per- 
sonenschadenfällen hat ACTINEO laut 
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ihren Angaben auf der Website 924.000 
Arztberichte angefordert, also im 
Durchschnitt etwa drei Arztberichte 
pro zwei Personenschadenfällen. Da- 
bei wurden 60.000 Regressansprüche 
der Sozialversicherungsträger geprüft. 
Insgesamt ging es um eine Prüfsumme 
von 460 Millionen €, bei der „nachhal- 
tige“ Kürzungen in Höhe von 47 Millio- 
nen € (also etwas mehr als 10 Prozent) 
erfolgt sein sollen. 


4.1. Big Data - Big Brother 


Neben Tätigkeiten, die zum Teil als 
Datenverarbeitung im Auftrag angese- 
hen werden können, bietet ACTINENO 
auch das Produkt „ACTINEODATA” an. 
Dieses bewirbt ACTINEO mit der folgen- 
den Aussage: 

„Wir entwickeln auf der Grundlage 
von Deutschlands größter unabhängiger 
Datenbank medizinisch codierter Perso- 
nenschäden Prädiktionsmodelle und KT- 
Lösungen im Personenschaden. 

Wir automatisieren Regulierungspro- 
zesse und liefern digitale Instrumente für 
die Steuerung und das Controlling im Per- 
sonenschaden. 

Unser Geschäftsbereich ACTINEODATA 
umfasst 
« den Aufbau eines diagnosegestützten 

Datawarehouse 
« die datenbasierte Unterstützung der 

Fallerkennung und Schadensteuerung 
« Prozessschadenmanagement durch ak- 

tives Kostencontrolling 
e Marktbenchmarks 
e Datenanalysen und mathematisch-sta- 

tistische Prognosemodelle für relevante 

Schadenkostenpositionen (Predictive 

Analytics) 

e KI-Lösungen im Personenschaden“'® 


Es ist stark zu vermuten, dass für 
diese Zwecke genau die Daten genutzt 
werden, die sie von den Haftpflichtver- 
sicherungen zur Erbringung anderer 
Dienstleistungen - wie z.B. ACTINEO- 
INFO - erhalten!’ oder im Auftrag der 
Haftpflichtversicherungen von den So- 
zialversicherungsträgern, aber auch 
von Krankenhäusern und Ärztinnen 
und Ärzten anfordern. Zur Frage des Da- 
tenschutzes in diesem Zusammenhang 
schreibt ACTINEO: 

„Unser Unternehmen muss zur Erfül- 
lung seiner vertraglichen Verpflichtungen 


gegenüber den beauftragenden Versiche- 
rungsunternehmen Gesundheitsdaten 
Ihrer Patienten erheben und verarbeiten. 
Dies erfolgt im Rahmen von Verträgen zur 
Auftragsverarbeitung gemäß den Vorga- 
ben der Datenschutzgrundverordnung 
(DSGVO) und des Bundesdatenschutz- 
gesetzes (BDSG) für die entsprechenden 
Versicherungsunternehmen. 

Darüber hinaus werden wir von den 
Patienten/Geschädigten mit einer fall- 
bezogenen Schweigepflichtentbindung 
legitimiert, die notwendigen Informati- 
onen von den behandelnden Ärzten und 
Kliniken zu erheben, zu erhalten und für 
die Dauer des Regulierungsprozesses zu 
speichern und zu verarbeiten. 

Wir erheben grundsätzlich nur solche 
Daten, die zur Begründung von Schaden- 
ersatzansprüchen sowie zur Einschätzung 
des Sachverhaltes bei Personenschäden 
und der damit verbunden Leistungs- 
pflicht notwendig sind. *" 

Hier würde besser passen: „die zur 
Abwehr von Schadensersatzansprüchen 
(...) notwendig sind.“ Wenn, wie be- 
hauptet, die Datenverarbeitung nur im 
Rahmen von Auftragsverarbeitungen 
erfolgt und die Daten nur für die Dauer 
des Regulierungsprozesses gespeichert 
und verarbeitet werden, dann stellt sich 
doch die Frage, woher die Daten kom- 
men, die für das Produkt „ACTINEODA- 
TA” genutzt werden. 

Auch unter dem Stichwort Datensi- 
cherheit sagt ACTINEO aus: 

„Mit jedem Kunden wird ein Vertrag zur 
Auftragsverarbeitung geschlossen. Für 
Datensicherheit sorgt ein abgeschlosse- 
nes internes Netzwerk inklusive Firewall, 
Viren-, Server- und Systemüberwachung, 
hochmoderne Verschlüsselung von Da- 
ten, mehrmals tägliche vollautomatische 
Datensicherung auf getrennten Servern 
und nach Abschluss der Bearbeitung die 
Vernichtung der Daten/Belege gem. Art 4 
DSGVO. Durch getrennte Datenhaltung 
ist sichergestellt, dass Kundendaten nur 
innerhalb des spezifischen Datenkreises 
verfügbar sind. So ist gewährleistet, dass 
die Daten der verschiedenen Kunden ab- 
solut zuverlässig getrennt voneinander 
verwaltet werden. “'° 

Das hört sich erst einmal gut an. Aber 
auch hier stellt sich die Frage, wie passt 
das mit der Aussage zusammen, dass 
ACTINEO ein diagnosegestütztes Data- 
warehouse aufbaut. Es müsste ja eigent- 
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lich für jeden Kunden ein eigenes Data- 
warehouse aufgebaut werden. Jedes Da- 
tawarehouse dürfte dann auch nur die 
Daten aus den aktuell zu bearbeitenden 
Fällen des jeweiligen Kunden enthalten. 
Und welche Daten sind in „Deutschlands 
größter unabhängiger Datenbank medi- 
zinisch codierter Personenschäden“, 
wenn die Daten jeweils nach Abschluss 
der Bearbeitung des einzelnen Falles 
vernichtet werden? 


4.2. Fehlende Transparenz 


Transparenz sieht anders aus. Es ist 
für die betroffenen Personen, deren 
Daten im Datawarehouse, in „Deutsch- 
lands größter unabhängiger Datenbank 
medizinisch codierter Personenschä- 
den“ landen, zumindest anhand der 
öffentlich zugänglichen Informationen 
von ACTINEO nicht erkenntlich, was al- 
les mit ihren Daten geschieht, die über- 
wiegend nicht einmal von ihnen selbst, 
sondern von behandelnden Ärztinnen 
und Ärzten, vom Krankenhaus und/ 
oder von ihrer Sozialversicherung an 
ACTINEO übermittelt werden. 

Eine Anfrage im September 2019 an 
den Datenschutzbeauftragen der AC- 
TINEO, die sich konkret auf die obigen 
Widersprüche bezog, wurde vom Daten- 
schutzbeauftragten, der - wie sich aus 
der Antwort ergab - gleichzeitig Proku- 
rist, Syndikusanwalt und „Leiter Recht 
und Datenschutz” der ACTINEO ist, lapi- 
dar mit folgender Aussage beantwortet: 

„Wie Sie richtig schreiben, ist ACTI- 
NEO als Auftragsverarbeiter gem. Art. 28 
DSGVO für verschiedene Haftpflichtversi- 
cherer tätig. Unsere Auftraggeber schät- 
zen unsere hohen Standards beim Thema 
Datenschutz und unsere Diskretion. 

Aus diesem Grund äußern wir uns ge- 
genüber Dritten generell nicht zu Ge- 
schäftsinterna. 

Gestatten Sie uns aber die allgemei- 
ne Bemerkung, dass ACTINEO in Sachen 
Datenschutz sehr gut aufgestellt ist. Un- 
ser Datenschutzmanagement wurde von 
den Datenschutzexperten unserer Kunden 
wiederholt überprüft sowie vom TÜV Rhein- 
land zertifiziert: https://www.actineo.de/ 
aktuelles/nachrichten/nachricht/news/ 
tuev-geprueft-actineo-ist-dienstleister-mit- 
zertifiziertem-datenschutz-management/ 

Vor diesem Hintergrund dürfen wir Ihnen 
versichern, dass es sich bei dem von Ihnen 
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skizzierten ‚Widerspruch‘ nur auf den ers- 
ten Blick um einen solchen handelt.“ 

Nein, dieser Widerspruch ist nicht nur 
auf den ersten Blick ein Widerspruch. 
Auch auf den zweiten oder dritten Blick 
bleibt der Widerspruch, dass zum ei- 
nen die personenbezogenen Daten pro 
Kunde (also pro Haftpflichtversiche- 
rung) strikt getrennt von den Daten der 
anderen Kunden verarbeitet werden, 
aber nur ein „diagnosegestütztes Data- 
warehouse” aufgebaut wird. Und dass 
zum anderen die Belege und Daten der 
geschädigten Personen nach Abschluss 
vernichtet werden, aber „Deutschlands 
größte unabhängige Datenbank me- 
dizinisch codierter Personenschäden” 
genutzt wird. Indirekt bestätigt aus 
Sicht des Autors die Aussage des Da- 
tenschutzbeauftragten von ACTINEO die 
Vermutung, dass die Daten, die in ACTI- 
NEOs Datenbank medizinisch codierter 
Personenschäden landen, aus der Tätig- 
keit für die Haftpflichtversicherungen 
stammen. Denn sonst müsste sich der 
Datenschutzbeauftragte nicht auf die 
Diskretion gegenüber den Auftragge- 
bern von ACTINEO berufen. 


4.3 Zertifizierung 


Die ACTINEO hat von der TÜV Rhein- 
land i-sec GmbH ein Datenschutzzer- 
tifikat als „Dienstleister mit geprüftem 
Datenschutzmanagement” erhalten. 
Allerdings stellt dieses Zertifikat - wie 
die TÜV Rheinland i-sec GmbH selbst 
schreibt - „kein akkreditiertes Zertifizie- 
rungsverfahren, Siegel oder Prüfzeichen 
im Sinne der Art. 42, 43 der Verordnung 
(EU) 2016/679 (Datenschutz-Grundver- 
ordnung) dar“.?° Auch sind die Kriterien, 
nach denen die Prüfungen vorgenommen 
wurden, nicht öffentlich zugänglich. Als 
ergänzende Information ist bei einem 
Klick auf „Dienstleister mit geprüftem 
Datenschutzmanagement” nur zu finden: 

„Dienstleister, die dieses Prüfzeichen 
führen dürfen, bieten höchste Sicher- 
heit bei der Erhebung, Speicherung, 
Verarbeitung und Weitergabe von perso- 
nenbezogenen Daten. Der betriebliche 
Datenschutz entspricht den organisa- 
torischen und technischen Anforderun- 
gen gemäß Bundesdatenschutz- und 
Telekommunikationsgesetz. Geprüft 
wird nach den Richtlinien des Stan- 
dards ISO IEC 27001:2005 und unseres 


Anforderungskatalogs für das Zertifi- 
kat Dienstleister mit geprüftem Daten- 
schutzmanagement.”?! 

Es wird also - zumindest nach der 
eigenen Aussage der TÜV Rheinland 
i-sec GmbH - keineswegs geprüft, ob die 
Verarbeitung personenbezogener Daten 
den rechtlichen Anforderungen des Da- 
tenschutzes genügt. Von daher sagt die- 
se Zertifizierung zur datenschutzrecht- 
lichen Zulässigkeit der Verarbeitungs- 
prozesse der ACTINEO leider gar nichts 
aus. Einzig und allein die technischen 
und organisatorischen Maßnahmen 
werden als dem Datenschutz entspre- 
chend bestätigt. In diesem Zusammen- 
hang sei nur am Rande erwähnt, dass 
zumindest die Datenschutzaufsichtsbe- 
hörden und viele Datenschutzexperten 
es als kritisch ansehen, wenn der oder 
die Datenschutzbeauftragte der Leitung 
eines Unternehmens angehört, was bei 
einem Prokuristen offensichtlich gege- 
ben ist. Also ist bei der ACTINEO auch 
beim Datenschutzmanagement noch 
Luft nach oben. 

Dass die DSGVO in dieser Informati- 
on nicht erwähnt wird, ist vermutlich 
nur ein Versehen. Auch dass ein Klick 
auf „Weitere Informationen zur Zertifi- 
zierung ‚Dienstleister mit geprüftem Da- 
tenschutzmanagement‘ finden Sie hier.“ 
weiter unten auf der Seite nur auf eine 
Fehlerseite?? führt, ist sicher ebenfalls 
nur ein Versehen. 


Festzuhalten bleibt: 


Ohne Offenlegung der Kriterien, nach 
denen eine solche Zertifizierung er- 
folgt, ist diese Zertifizierung weder für 
betroffene Personen noch für Auftrag- 
geber hilfreich. 

Eine Prüfung der rechtlichen Zuläs- 
sigkeit erfolgt nicht. 

Es ist zwar davon auszugehen, dass 
Kunden, die Wert auf Datenschutz le- 
gen, die Prüfberichte anfordern und 
vermutlich auch vorgelegt bekommen. 
Es ist allerdings nicht davon auszuge- 
hen, dass betroffene Personen diese 
Prüfberichte erhalten. 


5. Der Einzelne oder die betroffene 
Person 


Im Volkszählungsurteil spricht das 
Bundesverfassungsgericht von dem 
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Einzelnen. Die DSGVO spricht von der 
betroffenen Person: So sind 

„personenbezogene Daten’ alle Infor- 
mationen, die sich auf eine identifizierte 
oder identifizierbare natürliche Person 
(im Folgenden „betroffene Person“) be- 
ziehen“.? 

Wer sich jetzt die Frage stellt, was 
denn eine „identifizierbare natürliche 
Person“ sei, findet die Antwort direkt im 
Anschluss: 

„als identifizierbar wird eine natürliche 
Person angesehen, die direkt oder indi- 
rekt [identifiziert werden kann], insbe- 
sondere mittels Zuordnung 
« zu einer Kennung wie einem Namen, 

« zu einer Kennnummer, 

« zu Standortdaten, 

« zu einer Online-Kennung oder 

° zu einem oder mehreren besonderen 

Merkmalen (...), die Ausdruck der phy- 

sischen, physiologischen, genetischen, 

psychischen, wirtschaftlichen, kultu- 
rellen oder sozialen Identität dieser na- 
türlichen Person sind; ”** 


Egal ob „Einzelner” oder „betroffene 
Person“, es geht beim Thema Daten- 
schutz immer um den Menschen und um 
den Schutz seiner Grundrechte. 

In einem Personenschadensfall gibt 
es viele betroffene Personen: Wir haben 
mindestens eine geschädigte Person 
und meist auch eine unfallverursachen- 
de Person. Bei einem Personenschaden 
wird es dann auch Personen geben, die 
die geschädigte Person behandelt oder 
transportiert haben. Weiterhin gibt es 
Personen, die die entsprechenden Leis- 
tungen abrechnen. Bei einer umfassen- 
den datenschutzrechtlichen Erörterung 
der Datenverarbeitung von Gesund- 
heitsdaten durch die Haftpflichtversi- 
cherungen und durch ihre Dienstleister 
müssten alle diese betroffenen Perso- 
nen berücksichtigt werden. Hier soll es 
aber in erster Linie um die geschädigte 
betroffene Person gehen. 


5.1. Datenverarbeitung im Einzelfall 


Es ist sicher unstreitig, dass bestimm- 
te, unfallbezogene Daten der betroffe- 
nen Person sowohl für die Behandlung 
als auch für deren Abrechnung von den 
Leistungserbringern (u.a. Arztpraxen, 
Krankenhäuser, Krankentransporte) 
erfasst und verarbeitet werden müssen. 
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Dass ein Teil dieser Daten dann auch von 
den Sozialleistungsträgern (insbeson- 
dere gesetzliche Krankenversicherun- 
gen, gesetzliche Unfallversicherungen) 
verarbeitet werden müssen, dürfte auch 
nicht in Frage gestellt werden. Die ent- 
sprechenden Erlaubnistatbestände für 
die Verarbeitung sollten sich aus Art. 6 
Abs. 1 DSGVO und für die Gesundheits- 
daten aus Art 9 Abs. 2 DSGVO jeweils in 
Verbindung mit den Fachgesetzen, ins- 
besondere den entsprechenden Sozial- 
gesetzbüchern, ergeben. Auch dass bei 
einem Unfallgeschehen im erforderli- 
chen Umfang personenbezogene Daten 
der geschädigten Peron an die Haft- 
pflichtversicherung der unfallverursa- 
chenden Person weitergegeben werden 
müssen, damit der Sozialleistungsträ- 
ger diese Haftpflichtversicherung in Re- 
gress nehmen kann, ist unvermeidlich, 
gesetzlich durch 8 116 SGB X geregelt 
und solange nicht zu beanstanden, so- 
lange hierbei nur die zwingend erfor- 
derlichen Daten von den Haftpflichtver- 
sicherungen und ihren Dienstleistern 
angefordert und verarbeitet werden. 

Kornes legt in seinem Beitrag für 
die Fachtagung Personenschaden am 
07./08.11.2019® allerdings umfassend 
dar, dass seitens des Dienstleisters oft 
Daten und Belege angefordert werden, 
die - aus Sicht der Sozialleistungsträger 
- für die Beurteilung der Erstattungs- 
pflicht nicht relevant seien. In diesem 
Fall wäre bereits deren Anforderung, spä- 
testens aber deren Verarbeitung durch 
die Haftpflichtversicherungen und/oder 
ihren Dienstleister ein Verstoß gegen 
den Grundsatz der Datenminimierung 
aus Art. 5 Abs. 1 Buchst. c) DSGVO. 

Auch das Landgericht Bremen hat in 
einer Entscheidung vom 10.07.2019 
(Aktenzeichen 1 0 2112/16) befunden: 

„Bei Regressen nach $ 116 SGBX kann 
die klagende Krankenkasse die Schadens- 
höhe durch Vorlage einer Auflistung der 
Schadenspositionen unter Beilage der ihr 
nach den 88 285 Abs. 1 Nr. 11, 295, 300 ff 
SGB V elektronisch übersandten Abrech- 
nungsdaten der jeweiligen Leistungser- 
bringer nachweisen. ”* 


Laut Prelinger ergibt sich aus diesem 
Urteil in Verbindung mit früheren Ur- 
teilen des Bundessozialgerichts (BSG), 
u.a. dass 8 301 SGB V eine abschließen- 
de Liste enthält, welche Daten Kranken- 


häuser zur Abrechnung an gesetzliche 
Krankenversicherungen übermitteln 
dürfen. Die Anforderung weiterer Un- 
terlagen durch die Krankenversiche- 
rungen sei daher unzulässig. Im Falle 
einer rechtlich zulässigen Überprüfung 
einer Abrechnung sind weitere Unter- 
lagen nur an den Medizinischen Dienst 
der Krankenversicherungen (MDK), 
aber nicht an die Krankenversicherung 
zu übermitteln. Der MDK wiederum darf 
nur das Ergebnis seiner Überprüfung, 
nicht aber die Sozialdaten im Einzelnen 
an die Krankenversicherung übermit- 
teln. Prelinger stellt fest, dass das „ver- 
fassungsbedingt strenge sozialrecht- 
liche System der Datenverwendung 
und die abschließende Rechnungs- 
prüfung durch den MDK (...) bei der 
zivilrechtlichen Geltendmachung nach 
8 116 SGB X übergegangener Ansprüche 
fort[wirkt].”?” Oder mit anderen Worten: 
Auch die in Regress genommenen Haft- 
pflichtversicherungen müssen sich bei 
Krankenhausabrechnungen mit den in 
& 301 SGB X genannten Daten begnü- 
gen. Die Anforderung weiterer Unter- 
lagen zur Bearbeitung der Regressfälle 
durch den Dienstleister der Haftpflicht- 
versicherungen sowie die entspre- 
chende Weitergabe dieser Unterlagen 
durch Krankenhäuser oder gesetzliche 
Krankenversicherungen sind demnach 
rechtlich nicht zulässig 


5.2. Datawarehouse und „KI” 


ACTINEO wirbt - wie bereits dargestellt 
- damit, dass sie „Deutschlands größte 
unabhängige Datenbank medizinisch 
codierter Personenschäden” haben und 
auf dieser Basis nicht nur „Marktbench- 
marks” entwickeln, sondern auch Da- 
tenanalysen erstellen und „mathema- 
tisch-statistische Prognosemodelle für 
relevante Schadenkostenpositionen 
(Predictive Analytics)” anbieten. Dar- 
über hinaus gehören „KI-Lösungen im 
Personenschaden” zum Angebot.?® 

Es geht also nicht mehr um die Be- 
arbeitung eines Einzelfalles, um die 
Verarbeitung der Daten einer betrof- 
fenen geschädigten Person zum kon- 
kreten Zweck der Unterstützung der 
Haftpflichtversicherung im Regress- 
prozess mit dem Sozialleistungsträger. 
Mit Hilfe der sogenannten künstlichen 
Intelligenz sollen die Daten des Data- 
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warehouse zum Nutzen der Haftpflicht- 
versicherer ausgewertet, die Daten für 
„Marktbenchmarks“” verwendet und 
Vorhersagemodelle entwickelt werden. 

Hier stellt sich direkt die Frage nach 
der Zweckbindung der Daten, die für die 
Regulierung des einzelnen Schadenfalles 
entweder von den Sozialversicherungs- 
trägern, den Leistungserbringern oder 
gar der geschädigten Person an die Haft- 
pflichtversicherung oder ihren Dienst- 
leister herausgegeben wurden. Für Ge- 
sundheitsdaten, die zu den besonderen 
Kategorien personenbezogener Daten 
gemäß Art. 9 Abs. 1 DSGVO gehören, gel- 
ten besonders strikte Regelungen, auch 
in Bezug auf mögliche Zweckänderun- 
gen. Eine Erlaubnis auf Grund einer In- 
teressenabwägung, wie sie nach Art. 6 
Abs. 1 Buchst. f) DSGVO bei „norma- 
len” personenbezogenen Daten möglich 
wäre, ist bei Gesundheitsdaten wegen 
Art. 9 Abs. 1 DSGVO nicht möglich. Art. 9 
Abs. 1 DSGVO sagt eindeutig: „(...), die 
Verarbeitung von (...) Gesundheitsdaten 
(..) ist untersagt”. Zwar enthält Art. 9 
Abs. 2 DSGVO insgesamt 10 Ausnahmen 
von dieser Untersagung”, aber keine 
der dort genannten Ausnahmen ist auf 
„Deutschlands größte unabhängige Da- 
tenbank medizinisch codierter Perso- 
nenschäden“ anwendbar. Hieraus folgt, 
dass eine Zweckänderung zur Verarbei- 
tung der personenbezogenen Daten in 
der genannten Datenbank nur mit aus- 
drücklicher, informierter Einwilligung 
der betroffenen Personen nach Art. 9 
Abs. 2 Buchst. b) in Verbindung mit Art. 7 
DSGVO zulässig wäre. 

Es bleibt also nur die Anonymisie- 
rung der Daten. Hierzu ist vorab fest- 
zustellen, dass eine wirksame und irre- 
versible Anonymisierung von sehr spe- 
zifischen personenbezogenen Daten 
- und um solche handelt es sich beiden 
Personenschadensfällen offensichtlich 
- nur schwer möglich ist. Denn der 
Begriff der identifizierbaren natürli- 
chen Person und damit der Begriff des 
personenbezogenen Datums ist - wie 
weiter oben dargestellt - sehr weit ge- 
fasst. Welche Zusatzinformationen rei- 
chen der Haftpflichtversicherung oder 
dem Dienstleister, der die Datenbank 
betreibt, aus, um zu einer konkreten 
Person den angeblich anonymisierten 
Datensatz aus dieser Datenbank wieder 
zuzuordnen? 
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Die DSGVO sagt hierzu: 

„Um festzustellen, ob eine natürliche 
Person identifizierbar ist, sollten alle Mit- 
tel berücksichtigt werden, die von dem Ver- 
antwortlichen oder einer anderen Person 
nach allgemeinem Ermessen wahrschein- 
lich genutzt werden, um die natürliche Per- 
son direkt oder indirekt zu identifizieren, 
wie beispielsweise das Aussondern. 

Bei der Feststellung, ob Mittel nach all- 
gemeinem Ermessen wahrscheinlich zur 
Identifizierung der natürlichen Person 
genutzt werden, sollten alle objektiven 
Faktoren, wie die Kosten der Identifizie- 
rung und der dafür erforderliche Zeitauf- 
wand, herangezogen werden, wobei die 
zum Zeitpunkt der Verarbeitung verfüg- 
bare Technologie und technologische Ent- 
wicklungen zu berücksichtigen sind.“ ?°° 


Aber selbst, wenn davon ausgegan- 
gen werden könnte, dass eine wirksame 
und irreversible Anonymisierung die- 
ser Daten möglich ist und nur derartig 
anonymisierte Datensätze sich in der 
Datenbank befinden, heißt das dann 
automatisch, dass die Anonymisierung 
selbst datenschutzrechtlich zulässig 
ist? Offensichtlich ist, dass die DSGVO 
nur für personenbezogene, nicht aber 
für anonyme Daten gilt: 

„Die Grundsätze des Datenschutzes 
sollten daher nicht für anonyme Infor- 
mationen gelten, d.h. für Informationen, 
die sich nicht auf eine identifizierte oder 
identifizierbare natürliche Person bezie- 
hen, oder personenbezogene Daten, die 
in einer Weise anonymisiert worden sind, 
dass die betroffene Person nicht oder 
nicht mehr identifiziert werden kann. 
Diese Verordnung betrifft somit nicht die 
Verarbeitung solcher anonymer Daten, 
auch für statistische oder für Forschungs- 
zwecke. ”?' 


Soweit so gut. Allerdings stellt der 
Vorgang des Anonymisierens selbst eine 
Datenverarbeitung im Sinne des Art. 4 
Ziff. 2 DSGVO dar und bedarf daher auch 
einer entsprechenden Rechtsgrundlage. 

Die Anonymisierung zum Zwecke der 
Einspeicherung der anonymisierten Da- 
ten in eine Datenbank stellt somit eine 
Verarbeitung von personenbezogenen 
Daten dar, die unweigerlich zu einer 
Änderung des ursprünglichen Zweckes 
der Datenverarbeitung - nämlich Bear- 
beitung des konkreten Schadenfalles - 


führt. Für diese Zweckänderung bedarf 
es einer Rechtsgrundlage. Und als sol- 
che kommt - wie oben dargestellt - nur 
die informierte und ausdrückliche Ein- 
willigung der betroffenen Personen in 
Frage. 


5.3. Legal? Legitim? 


Selbst wenn wir an dieser Stelle an- 
nehmen würden, dass die Aufnahme an- 
onymisierter Daten aus den konkreten 
einzelnen Schadensfällen in „Deutsch- 
lands größte unabhängige Datenbank 
medizinisch codierter Personenschä- 
den“ datenschutzrechtlich formal nicht 
zu beanstanden wäre, stellt sich immer 
noch die Frage: 

Ist es legitim, dass sensible Daten, 
die nur deswegen an die Haftpflichtver- 
sicherung der einen Personenschaden 
verursachenden Person oder an den 
Dienstleister dieser Haftpflichtversiche- 
rung gegeben werden, um den konkre- 
ten Einzelfall zu regulieren, in einem 
Datawarehouse landen und unter An- 
wendung von „KI” verwendet werden, 
um zum Nutzen der Haftpflichtversi- 
cherungen die Regressansprüche der 
Sozialversicherungsträger soweit wie 
möglich zu reduzieren und um Markt- 
benchmarks zu erstellen? 

Hier wird das konkrete menschliche 
Schicksal im Einzelfall auf einen „me- 
dizinisch codierten Personenschaden” 
unter vielen reduziert. Das Subjekt - die 
geschädigte betroffene Person - wird 
zum Objekt von „Prädiktionsmodellen 
und KI-Lösungen“. Anstelle der indivi- 
duellen von einer fachkundigen Person 
erfolgenden Einzelfallentscheidung in 
der Haftpflichtversicherung kommen 
automatisierte Einzelfallentscheidun- 
gen - die sogenannte Dunkelverarbei- 
tung” - zum Einsatz. Sofern der Sozial- 
leistungsträger und nicht die betroffene 
geschädigte Person, deren Daten gerade 
„dunkel“ verarbeitet werden, der Adres- 
sat der Entscheidung über die Höhe der 
Regresszahlung ist, läuft das Recht der 
betroffenen Person, „nicht einer aus- 
schließlich auf einer automatisierten 
Verarbeitung - einschließlich Profiling - 
beruhenden Entscheidung unterworfen 
zu werden” aus Art. 22 Abs. 1 DSGVO ins 
Leere. Denn die Entscheidung der „Dun- 
kelverarbeitung” entfaltet ihre rechtli- 
che Wirkung bei den Regressverfahren 
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eines Sozialleistungsträgers gegen die 
jeweilige Haftpflichtversicherung in der 
Regel nicht gegenüber der betroffenen 
Person, sondern gegenüber diesem So- 
zialleistungsträger, der mit der Bezah- 
lung der Behandlung der Unfallschäden 
bereits in Vorleistung gegangen ist. 


6. Fazit 


Anhand der vorliegenden Informati- 
onen ist zu vermuten, dass ein solches 
System, dass „Deutschlands größte 
unabhängige Datenbank medizinisch 
codierter Personenschäden” zur Erstel- 
lung von „Prädiktionsmodellen” und zur 
Nutzung für Entscheidungsfindungen 
unter Anwendungvon „KI” datenschutz- 
rechtlich unzulässig ist, da nicht davon 
ausgegangen werden kann, dass die be- 
troffenen Personen ihre informierte Ein- 
willigung in die Zweckänderung der für 
die Bearbeitung der Regressansprüche 
angeforderten Daten erteilt haben. Hier 
sollte aus Sicht des Autors die zuständi- 
ge Datenschutz-Aufsichtsbehörde aktiv 
werden und dieses System einer daten- 
schutzrechtlichen Prüfung unterziehen. 

Legitim ist - wenn zur Beurteilung 
dieser Fragestellung der Einzelne, die 
betroffene Person in den Mittelpunkt 
gestellt wird - ein solches System un- 
ter dem Gesichtspunkt des Rechts auf 
informationelle Selbstbestimmung aus 
Sicht des Autors nicht mehr. 
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Thilo Weichert 


„Digitale-Versorgung-Gesetz” und Datentransparenz 


1 Was bisher geschah 


Am 19.12.2019 trat das „Gesetz für 
eine bessere Versorgung durch Digita- 
lisierung und Innovation“, abgekürzt 
„Digitale-Versorgung-Gesetz” (DVG) 
in Kraft.' Die grammatikalisch falsche 
Kurzbezeichnung des Gesetzes liegt auf 
der aktuellen Linie der Bundesregie- 
rung, ihre Gesetze mit „Neusprech” zu 
labeln. Mit dem Gesetz erfolgen Ände- 
rungen des Sozialgesetzbuches (SGB) V 
zur „Gesetzlichen Krankenversiche- 
rung” (GKV). Nicht erfasst ist also der 
gesamte Bereich der privaten Gesund- 
heitsversorgung. Dem verantwortlich 
zeichnenden Bundesgesundheitsminis- 
terium (BMG) und seinem Minister Jens 
Spahn geht es darum, die medizinische 
Versorgung „digitaler und besser” zu 
machen.? Das in der Digitalisierung 
hinterherhinkende Deutschland solle 
doch zumindest im Gesundheitsbereich 
im globalen Wettbewerb aufholen. Dafür 
ist ein Strauß unterschiedlicher Maß- 
nahmen Gesetz geworden, etwa dass 
Ärzte künftig Apps für Menschen mit 
Bluthochdruck oder Diabetes verschrei- 
ben können und die Kosten von der 
Krankenkasse zu übernehmen sind oder 
dass Videosprechstunden in Anspruch 
genommen werden können. Letztlich 
stimmten Linke und Grüne gegen das 
Gesetz. AfD und FDP enthielten sich.’ 

Ein zentraler Bestandteil des Gesetzes 
ist eine völlige Neufassung der 88 303a- 
303f SGB V mit der Überschrift „Daten- 
transparenz”. Dieser zweite Titel des 
10. Kapitels des SGB V wurde 2003 ein- 
geführt.‘ Das 10. Kapitel des SGB V steht 
unter der Überschrift „Versicherungs- 
und Leistungsdaten, Datenschutz, Da- 
tentransparenz”. Das Thema „Daten- 
transparenz” war erstmals grundlegend 
behandelt worden durch die grüne 
Gesundheitsministerin Andrea Fischer 
und wurde letztlich ohne großes öf- 
fentliches Aufsehen unter der SPD-Ge- 
sundheitsministerin Ulla Schmidt von 
der rot-grünen Regierungsmehrheit im 
Bundestag beschlossen. Der Vorschlag, 
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eine pseudonyme Datenverarbeitung 
für übergreifende Auswertungen zu 
etablieren, ging letztlich auf Vorschlä- 
ge von Datenschützern zurück, u.a. 
auch der Deutschen Vereinigung für 
Datenschutz (DVD), die entsprechende 
Vorschläge am 22.09.1999 erstmals im 
Bundestag präsentierten.” Das Poten- 
zial der dadurch gespeicherten pseu- 
donymen Krankenkassendaten wurde 
daraufhin über Jahre hinweg nicht 
ausgeschöpft, was einerseits an dem 
begrenzten Datensatz und an den damit 
verbundenen begrenzten Auswertungs- 
möglichkeiten, aber auch an der gerin- 
gen Bekanntheit des Instruments lag. 
Dies ändert sich nun schlagartig durch 
das Digitale-Versorgung-Gesetz (DVG), 
mit dem die Öffentlichkeit und die Welt 
der Forschenden die Datentransparenz 
plötzlich entdecken. 

Die Reaktion auf diese gesetzliche 
Aufwertung ist heftig. Das Gespenst 
der zentralen Datenspeicherung aller 
Krankenversichertendaten einschließ- 
lich der elektronischen Patientenakten, 
mit dem über Jahre hinweg der elekt- 
ronischen Gesundheitskarte (eGK) und 
der Telematik-Infrastruktur (TI) das 
Leben und Entwickeln schwer gemacht 
wurden, stand plötzlich im Fokus der öf- 
fentlichen Wahrnehmung.‘ Tatsächlich 
schienen die Vorschläge des BMG nicht 
gerade ausgewogen. So fragte die Süd- 
deutsche Zeitung, ob es sein kann, dass 
„die persönlichen Gesundheitsdaten 
von mehr als 70 Millionen Bürgern zen- 
tral gespeichert werden”. Sollte da tat- 
sächlich eine der größten Datensamm- 
lungen der Bundesrepublik entstehen, 
und das auch noch mit den höchstper- 
sönlichen Krankendaten der Bevölke- 
rung und weitgehend ungeschützt?’ 

Erst kurz vor der endgültigen Be- 
schlussfassung im Bundestag wurde 
dies zum öffentlich kontrovers dis- 
kutierten Thema. Drei Tage vor der 
entscheidenden Sitzung entschärfte 
die Bundesregierung den Gesetzes- 
vorschlag. Die Angaben zu Alter, Ge- 
schlecht, Leistungsbezug, Behandlun- 


gen und Gesundheitsstatus sollen nicht 
mehr mit dem eindeutig zuordenbaren 
Versichertenkennzeichen übermittelt 
werden können, sondern nur noch un- 
ter Pseudonym. 

Dass dies in letzter Minute korrigiert 
werden musste, lag an der Art des Vor- 
gehens des BMG und seines Ministers. 
Die Berücksichtigung der Expertise 
des Bundesbeauftragten für den Da- 
tenschutz und die Informationsfreiheit 
(BfDI) Ulrich Kelber wurde ebenso über- 
gangen wie überhaupt die Kommuni- 
kation mit den Beteiligten und Betrof- 
fenen. So kritisierte in Bezug auf diese 
Gesetzgebung der Vorsitzende des Deut- 
schen Ethikrats Peter Dabrock, Spahn 
handle über die Köpfe der Bürger hin- 
weg.? Schon zuvor hatte das BMG seine 
auch zunächst im DVG verfolgten Pläne 
zur Einführung einer elektronischen 
Patientenakte (ePA) nach heftigem Wi- 
derstand des Verbraucher- und Justiz- 
ministerium aufgeben müssen, weil zu 
großer „Änderungs- und Ergänzungs- 
bedarf“ bestand, etwa weil „gesetzliche 
Vorgaben für ein Einwilligungs- und 
Berechtigungsmanagement zur Wah- 
rung der Datenhoheit des Versicherten” 
schlicht nicht vorgesehen waren.’ 


2 Der rechtliche Rahmen 


Tatsächlich ist schon seit 2003 gere- 
gelt, dass Patientendaten aus dem Be- 
reich der GKV in pseudonymer Form zen- 
tral gespeichert sind und ausgewertet 
werden können. Die Gesetzesänderung 
sieht nun eine Ausweitung sowohl des 
Datensatzes als auch der möglichen 
Nutzungen vor. Da eine Auswertung 
von Gesundheitsdaten von hoher ge- 
sellschaftlicher Wichtigkeit sein kann, 
ist hiergegen zunächst grundsätzlich 
nichts einzuwenden. 

Der europäische Gesetzgeber hat fest- 
gelegt, dass die Auswertung solcher 
Daten ausschließlich „aus Gründen des 
öffentlichen Interesses” zulässig ist. 
Im Bereich der öffentlichen Gesund- 
heit ergibt sich dies direkt aus Art. 9 
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Abs. 2 lit. i DSGVO, was dort weiter bei- 
spielhaft präzisiert wird. Es geht z.B. 
um den „Schutz vor schwerwiegenden 
grenzüberschreitenden Gesundheitsge- 
fahren”, um die „Gewährleistung hoher 
Qualitäts- und Sicherheitsstandards 
bei der Gesundheitsversorgung und bei 
Arzneimitteln und Medizinprodukten”. 
Auch bei einer Verwendung für wissen- 
schaftliche Forschungszwecke nach 
Art. 9 Abs. 2 lit. ] DSGVO muss, wenn 
eine privilegierte Datennutzung erfol- 
gen soll, die Art. 5 Abs. 1 lit. b DSGVO 
für Forschungszwecke ausdrücklich 
vorsieht, ein überwiegendes öffentli- 
ches Interesse vorliegen.'? 

Voraussetzung ist, dass dabei, wie 
in Art. 9 Abs. 2 lit. i, ] DSGVO gefordert 
wird, „angemessene und spezifische 
Maßnahmen zur Wahrung der Rechte 
und Freiheiten der betroffenen Person, 
insbesondere des Berufsgeheimnisses” 
festgelegt und umgesetzt werden. In- 
sofern sind einige Vorkehrungen im 
DVG geregelt, doch sind diese verbesse- 
rungsfähig und -bedürftig. 

Die Aufgaben der Datentransparenz 
werden von einer Vertrauensstelle und 
einem Forschungsdatenzentrum (frü- 
her: Datenaufbereitungsstelle) wahrge- 
nommen. Bei beiden handelt es sich um 
öffentliche Stellen des Bundes. Die Be- 
nennung erfolgt per Rechtsverordnung 
durch das BMG. Sie sind räumlich, orga- 
nisatorisch und personell eigenständig, 
d.h. auch voneinander getrennt zu füh- 
ren und unterliegen ausschließlich der 
Rechtsaufsicht des BMG (8 303a Abs. 1, 
2). Das Fehlen einer Fachaufsicht be- 
deutet, dass die beiden Stellen keine 
fachlichen Weisungen des BMG oder ir- 
gendeiner anderen Stelle entgegenneh- 
men. Diese rechtliche Unabhängigkeit 
hätte man zweifellos klarer und besser 
ins Gesetz schreiben können. 

Die Krankenkassen liefern über den 
Spitzenverband Bund der Krankenkas- 
sen (GKV-Spitzenverband) zu jedem 
Versicherten die Daten an. Dabei ver- 
wenden sie ein Versichertenpseudo- 
nym, „das eine kassenübergreifende 
eindeutige Identifizierung“ erlaubt 
(Lieferpseudonym). Der GKV-Spitzen- 
verband prüft die Daten auf Vollständig- 
keit, Plausibilität und Konsistenz und 
klärt offene Fragen mit der jeweiligen 
liefernden Krankenkasse. Der GKV-Spit- 
zenverband übermittelt dann ohne Lie- 
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ferpseudonym mit einer Arbeitsnummer 
den Datensatz mit Angaben zu Alter, 
Geschlecht und Wohnort des Patienten, 
Angaben zum Versicherungsverhältnis 
sowie den Kosten- und Leistungsdaten 
nach den 88 295, 295a, 300, 301, 301a 
und 302 SGB V an das Forschungsda- 
tenzentrum. Auch die Angaben zu den 
Leistungserbringern (also Ärzten, Apo- 
theken usw.) werden vor der Übermitt- 
lung pseudonymisiert. Der GKV-Spit- 
zenverband liefert zudem eine Liste der 
Lieferpseudonyme mit deren Zuordnung 
zu den Arbeitsnummern an die Vertrau- 
ensstelle (8 303b). 


Gegenüber dem bisher eingemelde- 
ten Datensatz soll es eine massive Aus- 
weitung geben: Bisher stand für dessen 
Umfang und Inhalt der Risikostruktur- 
ausgleich (8 268 SGB V) im Vordergrund. 
Jetzt können grds. alle Kosten- und 
Leistungsdaten übermittlungspflichtig 
gemacht werden. Voraussetzung ist le- 
diglich, dass in einer Rechtsverordnung 
Art und Umfang der Daten (Datenfel- 
der und Detailtiefe) bestimmt werden 
(8 303a Abs. 4 Nr. 1SGB V). Erfasst wer- 
den damit die Krankenhausbehandlung 
($ 301), die ambulante Versorgung 
(88 295, 295a), die Versorgung mit Arz- 


Datenfluss und Pseudoynmisierung nach dem DVG 


Versicherter 1 Versicherter 2 


Krankenkasse 1 


V1ps+Arzt1 
V1ps+Arzt2 
V2ps+Arzt3 


Versicherter 3 


Versicherte 
konsultieren Ärzte 


Ärzte übermitteln 
Daten an 
Krankenkassen 


Krankenkasse 2 


V3ps+Arzt3 Krankenkassen 
übermitteln 
pseudon. 


Daten 


GKV übermittelt 
Daten mit 
Arbeitsnr. und 
pseudon. Arzt ArbNr1+Aps1 
ArbNr2+Aps2 
ArbNr3+Aps3 


ArbNr4+Aps4 


GKV übermittelt 
pseudon. Vers. 
mit Arbeitsnr. 


V1ps+ArbNr.1 
V1ps+ArbNr.2 
V2ps+ArbNr.3 
V3ps+ArbNr.4 


Vertrauensstelle VS 


VS übermittelt 
Arbeitsnr. mit 
perioden-überzgr. 
Pseudonym 


ArbNr.1+Vpü1 
ArbNr.2+Vpü1 
ArbNr.3+Vpü2 
ArbNr.4+Vpü3 
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neimitteln (8 300), Heil- und Hilfsmittel 
incl. Digitalanwendungen (8 302), die 
Versorgung durch Hebammen (8 301a) 
sowie andere Leistungserbringer (etwa 
Physiotherapeuten, & 302). Die Aus- 
weitung umfasst nun auch Angaben zu 
den Leistungserbringern.'! Bzgl. der 
Angaben zum Wohnort der Patientin- 
nen und Patienten sollen insbesondere 
in Großstadtgemeinden und Flächen- 
kreisen Zuordnungen zu Lebens- und 
Sozialräumen möglich sein. Die Anga- 
ben zum Versichertenverhältnis kön- 
nen Angaben zum Versichertenstatus, 
Vitalstatus einschließlich des Sterbe- 
datums der Versicherten umfassen." 
Der bisherige Datenkranz wird mittels 
Rechtsverordnung durch ein „deutlich 
erweitertes und aktuelleres Datenange- 
bot” ersetzt."? 

Die Vertrauensstelle überführt die 
Lieferpseudonyme nach einem ein- 
heitlich anzuwendenden Verfahren in 
periodenübergreifende Pseudony- 
me. Das dabei verwendete Verschlüs- 
selungsverfahren „ist so zu gestalten, 
dass für das jeweilige Lieferpseudonym 
eines jeden Versicherten periodenüber- 
greifend immer das gleiche Pseudonym 
erstellt wird, aus dem Pseudonym aber 
nicht auf das Lieferpseudonym oder die 
Identität des Versicherten geschlos- 
sen werden kann” (8 303c Abs. 2). Die 
Vertrauensstelle übermittelt dann die 
Pseudonyme mit den Arbeitsnummern 
dem Forschungsdatenzentrum und 
löscht danach die Lieferpseudonyme, 
Arbeitsnummern und übermittelten 
Pseudonyme (8 303c Abs. 3 SGB). So soll 
verhindert werden, dass über das peri- 
odenübergreifende Pseudonym auf die 
Person des Versicherten rückgeschlos- 
sen werden kann. Wie die Pseudonyme 
mit welchen Algorithmen generiert wer- 
den, ist im Gesetz nicht festgelegt und 
wird der Rechtsverordnung überlassen 
(8 303a Abs. 4Nr. 3). 

Das Forschungsdatenzentrum hat 
nach 8 303d Abs. 1 SGB V die Aufgabe, 
die angelieferten Daten zu speichern, 
aufzubereiten und auszuwerten. Zu den 
Aufgaben gehören u.a. 

- die Qualitätssicherung der Daten 

(Nr. 2) 

- die Prüfung von Anträgen auf Daten- 

nutzung (Nr. 3), 

- das Führen eines Antragsregisters mit 

Informationen zu den Nutzungsbe- 
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rechtigten incl. Vorhaben und deren 
Ergebnisse (Nr. 6) und 

- die Bereitstellung der benötigten 
Daten an die Nutzungsberechtigten 
(8 303e Abs. 1SGBV). 


Im Rahmen der Aufbereitung der Da- 
ten erstellt das Zentrum anonymisierte 
Datensätze, sog. Public Use Files, die 
es öffentlich verfügbar macht, etwa für 
Schulungs-, Entwicklungs- und Test- 
zwecke.'* Zudem hat es Aufgaben der 
Evaluation, der Weiterentwicklung der 
Datentransparenz, der Beratung und 
der Schulung der Nutzungsberechtig- 
ten. Im Rahmen der Antragsprüfung 
hat das Forschungsdatenzentrum das 
Reidentifizierungsrisiko bei jeder Da- 
tenpreisgabe zu „bewerten und unter 
angemessener Wahrung des angestreb- 
ten wissenschaftlichen Nutzens durch 
geeignete Maßnahmen zu minimieren” 
(8 303d Abs. 1Nr. 5). 

Die Speicherdauer ist maximal 30 
Jahre ($ 303d Abs. 4). Der Gesetzgeber 
geht davon aus, dass nach spätestens 
30 Jahren auch für wissenschaftliche 
Forschungszwecke eine Erforderlich- 
keit nicht mehr gegeben ist. Innerhalb 
des Rahmens kann eine Präzisierung 
durch die Rechtsverordnung erfolgen. 
Schon jetzt bestehen Forderungen, län- 
gere Aufbewahrungsfristen zu ermög- 
lichen. Für die Aufgabenerledigung 
kann das Zentrum Auftragsverarbeiter 
(8 80 SGB X) einschalten."‘ 

Die Liste der potenziell Nutzungsbe- 
rechtigten (8 303e Abs. 1) ist umfang- 
reich: 

- GKV-Spitzenverband 

Bundes- und Landesverbände der 
Krankenkassen 

Kassenärztliche Bundesvereinigung 
und Kassenärztliche Vereinigungen, 
Spitzenorganisationen der Leistungs- 
erbringer auf Bundesebene, 

Stellen zur Gesundheitsberichterstat- 
tung (Statistik, Bund und Länder), 
Einrichtungen unabhängiger wissen- 
schaftlicher Forschung (incl. Hoch- 
schulen), 

- gemeinsamer Bundesausschuss (gBA) 
- Institut für Qualität und Wirtschaft- 
lichkeit im Gesundheitswesen (IQWiG), 
Institut des Bewertungsausschusses 
(InBA), 

Patienten- und Behindertenbeauf- 
tragte (Bund, Länder), 


Institut für Qualitätssicherung und 

Transparenz im Gesundheitswesen 

(IOTIG), 

- Institut für das Entgeltsystem im 
Krankenhaus (INEK GmbH), 

- Oberste Bundes- und Landesbehörden 
(also z.B. das BMG), 

- Bundeskammern der Ärzte, Zahnärz- 

te, Psychotherapeuten und Apothe- 

ker, 

Deutsche 

(DKG). 


Krankenhausgesellschaft 


Gegenüber dem bisherigen Rechtszu- 
stand wurde die Empfangsbefugnis um 
öffentlich geförderte außeruniversitä- 
re Forschungseinrichtungen ergänzt, 
also z.B. die Fraunhofer Gesellschaft, 
die Helmholtz Gesellschaft, die Leibniz 
Gemeinschaft sowie die Max-Planck- 
Gesellschaft.”” Nicht Gesetz wurde der 
weitergehende Vorschlag der FDP im 
Gesundheitsausschuss, auch den phar- 
mazeutischen Unternehmen, den Her- 
stellern von Medizinprodukten, den 
Herstellern von Diagnostikleistungen 
und von digitalen Gesundheitsleistun- 
gen Zugang zu den Transparenzdaten 
einzuräumen. Dieser Vorschlag wurde 
von CDU/CSU, SPD, Die Linke und Bünd- 
nis 90/Die Grünen abgelehnt."? 

Als Nutzungszwecke werden in 8 303e 
Abs. 2 aufgeführt: 

- Steuerungsaufgaben durch die Kol- 

lektivvertragspartner (Nr. 1), 

- Verbesserung der Versorgungsquali- 

tät (Nr. 2), 

- Planung von Leistungsressourcen 

(z.B. Krankenhausplanung, Nr. 3), 

- Unterstützung politischer Entschei- 

dungen (Nr. 5), 

- Analyse und Entwicklung sektoren- 


übergreifender Versorgungsformen 
und von Krankenkassen-Einzelverträ- 
gen (Nr. 6), 


- Gesundheitsberichterstattung (Nr. 7). 


Als weiterer Nutzungszweck wird die 
Forschung genannt (Nr. 4). 

Für diese Zwecke liefert das For- 
schungsdatenzentrum Auswertungen 
„anonymisiert und aggregiert”. Mög- 
lich ist auch die Lieferung „mit kleinen 
Fallzahlen“, wenn nachvollziehbar dar- 
gelegt wird, dass dies für einen zulässi- 
gen Nutzungszweck (s.o.) erforderlich 
ist (8 303e Abs. 3). 

Datenschutzrechtlich besonders sen- 
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sibel wird es, wenn das Forschungsda- 
tenzentrum pseudonymisierte Ein- 
zeldatensätze bereitstellt. Dafür muss 
der Antragsteller darlegen, dass dies 
„für einen nach Absatz 2 zulässigen 
Nutzungszweck, insbesondere für die 
Durchführung eines Forschungsvorha- 
bens, erforderlich ist“. Die Pseudony- 
me werden bei der Bereitstellung nicht 
sichtbar gemacht. Zudem muss der Nut- 
zer „einer Geheimhaltungspflicht nach 
& 203 des Strafgesetzbuchs unterliegen” 
(bzw. gemäß Verpflichtungsgesetz) und 
technisch-organisatorisch gewährleis- 
ten, dass keine Kopien angefertigt wer- 
den und Datenminimierung praktiziert 
wird (8 303e Abs. 4). 

In der Begründung wird das Vorge- 
hen wie folgt erläutert: „Die Regelung 
verbessert die Zugangsmöglichkeiten zu 
Einzeldatensätzen unter Kontrolle des 
Forschungsdatenzentrums. Einzelda- 
tensätze werden nicht an Nutzungsbe- 
rechtigte übermittelt. Wenn erforderlich 
und sicher umsetzbar, ist ein Zugriff auf 
Einzeldatensätze für die Verarbeitung 
unter Kontrolle des Forschungsdaten- 
zentrums, insbesondere zur Analyse und 
zur Herstellung von zusammengefassten 
Daten möglich und kommt nicht mehr 
nur als Ausnahmefall in Betracht. Es 
kann dennoch in vielen Fällen weiterhin 
ausreichend sein, wenn ohne einen Zu- 
griff auf Einzeldatensätze aufbereitete 
aggregierte Daten übermittelt werden. .... 

Als geeignete Verfahren ... kommt 
der Zugriff an einem Gastarbeitsplatz 
in den Räumen des Forschungsdaten- 
zentrums oder über einen gesicherten 
Fernzugriff in Frage. Hierfür stellt das 
Forschungsdatenzentrum eine geeig- 
nete technische Analyseplattform zur 
Verfügung. Bei der Entwicklung, Erpro- 
bung und Festlegung der Verfahren ist 
das Bundesamt für die Sicherheit in der 
Informationstechnik einzubeziehen, 
um ausreichende technische Sicherheit 
zu gewährleisten”.' 

Die Nutzungsberechtigten dürfen die 
erlangten Daten nur für die genehmig- 
ten Zwecke nutzen und nicht an Dritte 
weitergeben, es sei denn, dass dies vom 
Forschungsdatenzentrum genehmigt 
wird. Sie haben „darauf zu achten, kei- 
nen Bezug zu Personen, Leistungser- 
bringern oder Leistungsträgern herzu- 
stellen. Wird ein Bezug zu Personen, 
Leistungserbringern unbeabsichtigt 
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hergestellt, so ist dies dem Forschungs- 
datenzentrum zu melden”. Die Nutzung 
zwecks Identifizierung von Leistungser- 
bringern sowie zur Erlangung von frem- 
den Betriebs- und Geschäftsgeheimnis- 
sen wird verboten (8 303e Abs. 5). 

Stellt eine Datenschutzaufsichtsbe- 
hörde einen Datenschutzverstoß fest 
und hat sieeine Maßnahme nach Art. 58 
Abs. 2 lit. b-j DSGVO ergriffen, dann in- 
formiert sie das Forschungsdatenzent- 
rum, das dann die Person bzw. Stelle für 
einen Zeitraum von bis zu zwei Jahren 
vom Datenzugang ausschließt. 

& 303a Abs. 4 ermächtigt das BMG 
in Abstimmung mit dem Bundesfor- 
schungsministerium (BMBF) zwecks 
Konkretisierung der Verfahren (Daten- 
umfang, Pseudonymisierungsverfah- 
ren, Bereitstellung von Einzeldatensät- 
zen, Aufbewahrungsfrist, Evaluation, 
Weiterentwicklung) zum Erlass einer 
Rechtsverordnung. Gemäß & 303d Abs. 2 
wird ein Arbeitskreis der Nutzungsbe- 
rechtigten eingerichtet, der „an der 
Ausgestaltung, Weiterentwicklung und 
Evaluation des Datenzugangs” beratend 
mitwirkt. 


3 Was davon zu halten ist 


Es stimmt, dass im Forschungsdaten- 
zentrum eine zentrale Datensammlung 
von hochsensiblen Gesundheitsdaten 
von sämtlichen in Deutschland gesetz- 
lich Versicherten auf- bzw. ausgebaut 
wird. Dies ist ein höchstsensibler Vor- 
gang, der einer qualifizierten Überprü- 
fung und Hinterfragung bedarf. Es trifft 
aber nicht zu, dass, wie von vielen Kri- 
tikern suggeriert wird, damit dem Miss- 
brauch dieser Daten Tür und Tor geöff- 
net wird. Dafür sind die Vorkehrungen, 
oder wie die DSGVO sagt, die „angemes- 
senen und spezifischen Maßnahmen zur 
Wahrung der Rechte und Freiheiten”, 
zu klar und präzise. Dennoch bestehen 
rechtliche und voraussichtlich auch 
praktische Defizite, was mit großer 
Wahrscheinlichkeit zu Konflikten und 
möglicherweise auch zu unerwünsch- 
ten Datenlecks führen wird. 

Vorab soll aber klar gestellt werden: 
Die Nutzung der GKV-Gesundheitsdaten 
für Forschungszwecke ist äußerst sinn- 
voll, wenn diese zur Weiterentwicklung 
unseres Gesundheitssystems und zum 
Fortschritt im Bereich der medizinischen 


Forschung genutzt werden. Ohne valide 
statistische Daten, die im medizinischen 
Bereich äußerst differenziert sein müs- 
sen, ist eine qualifizierte Gesundheits- 
berichterstattung nicht möglich.?° Diese 
ist nötig als Grundlage für eine gerechte 
und effiziente staatliche Politik, für die 
Justierung des Abrechnungssystems, 
für das Erkennen von grundlegenden 
Entwicklungen und Zusammenhängen.?' 
Angesichts der Bedeutung der Medizin 
für unsere älter werdende Gesellschaft 
und angesichts gesteigerter Gesund- 
heitsgefahren etwa durch ökologische 
Risiken und angesichts der hohen hier 
eingesetzten gesellschaftlichen Aufwän- 
de ist eine umfassende Datenbasis für 
Forschungszwecke wichtiger denn je. 

Zugleich ist das Recht auf informa- 
tionelle Selbstbestimmung und da- 
mit die individuelle Souveränität der 
Patientinnen und Patienten über ihre 
Daten ein hohes verfassungsrechtliches 
Gut. Dieses kann nur im überwiegenden 
Allgemeininteresse beschränkt werden, 
wenn hinreichende technisch-organisa- 
torische und verfahrensrechtliche Vor- 
kehrungen getroffen werden.?? 

Von Datenschützern wurde die unein- 
geschränkte Zugriffsmöglichkeit vieler 
Stellen kritisiert, ohne dass ein Wider- 
spruchsrecht gegen die Datennutzung 
für Forschungszwecke vorgesehen ist.” 
Im deutschen Datenschutzrecht hat bei 
Forschungsnutzungen die Einwilligung 
absoluten Vorrang.?* Dem gegenüber ist 
Art.5 Abs. 1lit.bDSGVO, dereinegrund- 
sätzliche und generelle Erlaubnis einer 
Zweitnutzung für Forschungszwecke 
vorsieht, erheblich forschungsfreund- 
licher, indem die DSGVO zwar Garan- 
tien für die Betroffenen fordert, nicht 
aber deren Zustimmung. Hintergrund 
dieses Schwenks ist, dass das Einwilli- 
gungserfordernis ebenso wie eine Wi- 
derspruchsmöglichkeit die Repräsenta- 
tivität von wissenschaftlichen Auswer- 
tungen beeinträchtigen kann. Für einen 
Ausgleich zwischen Forschungsfreiheit 
und Datenschutz ist eine generelle Wi- 
derspruchsmöglichkeit nicht zwingend, 
wenn andere Vorkehrungen den Betrof- 
fenenschutz sichern. Ein Minus dazu 
könnte eine erhöhte Transparenzpflicht 
gepaart mit einem projektspezifischen 
Widerspruchsrecht sein.” Tatsächlich 
ließe sich damit eine erheblich diffe- 
renziertere Umsetzung des Rechts auf 
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informationelle Selbstbestimmung bei 
gleichzeitiger hoher Repräsentativität 
sichern. Gerade bei der Auswertung von 
Einzeldatensätzen wird das Spannungs- 
verhältnis zwischen Datenschutz und 
Forschungsnutzung virulent. Dass den 
Betroffenen bei der Datentransparenz 
im DVG überhaupt keine Rechte zuge- 
standen werden, ist definitiv ein zentra- 
ler Aspekt, um die Regelungen zur Da- 
tentransparenz rechtlich anzugreifen. 

Hinsichtlich der Datennutzungs- 
rechte nennt das Gesetz eine Vielzahl 
von Stellen. Für die meisten genügen 
aggregierte, also vollständig anonymi- 
sierte Auswertungsergebnisse, etwa für 
die Krankenhausgesellschaft oder sons- 
tige GKV-Verbände. Diese Stellen wer- 
den im Gesetz mit Forschenden in eine 
Reihe gestellt, die viele ihrer Fragestel- 
lungen sicher nur mit personenbezieh- 
baren Einzeldatensätzen beantworten 
können. Dies mag gesetzgebungstech- 
nische Gründe haben, also das Ziel ei- 
ner möglichst schlanken Regelung. Zu- 
gleich öffnet aber der Gesetzestext die 
Tür für die Übermittlung von Einzelda- 
tensätzen an Stellen, die diese nicht er- 
halten dürfen. In der Praxis bzw. durch 
Rechtsverordnung muss gewährleistet 
werden, dass trotz der gesetzlichen Of- 
fenheit der Grundsatz der Datenmini- 
mierung nicht missachtet wird. 

Das Problem des DVG ist, dass dieses 
nicht nur aggregierte Auswertungen 
mit anonymisierten Ergebnissen zu- 
lässt, sondern auch die Nutzung von 
Einzeldatensätzen, wenn nachvollzieh- 
bar dargelegt wird, dass diese für einen 
zulässigen Nutzungszweck erforderlich 
sind. Die Hürden für die Weiternutzung 
der Einzeldatensätze sind dann denkbar 
niedrig: 1. Die Empfänger müssen einer 
beruflichen Schweigepflicht unterlie- 
gen. 2. Die Datenminimierung muss 
technisch-organisatorisch abgesichert 
werden. 3. Es besteht eine Zweckbin- 
dung, die aber mit Genehmigung des 
Forschungsdatenzentrums aufgehoben 
werden kann. 4. Es besteht ein Reiden- 
tifizierungsverbot (8 303e Abs. 4, 5). 
Eine saubere Abschottung, also eine 
räumliche, organisatorische und perso- 
nelle Trennung zwischen der Erfüllung 
der operativen Aufgaben einer Stelle 
und der pseudonymen Verarbeitung von 
Transparenzdaten”® ist ebensowenig 
vorgesehen wie sonstige Vorkehrungen 
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gegen eine Reidentifizierung der pseud- 
onymen Daten.” 

Eine Sicherheitsvorkehrung soll da- 
rin bestehen, dass eine Auswertung 
der für den jeweiligen Nutzenden frei- 
geschalteten Einzeldatensätze nur auf 
dem IT-System des Forschungszent- 
rums zulässig ist. Damit verbindet die 
Gesetzesbegründung die unzutreffende 
Behauptung, so erfolge rechtlich keine 
Datenübermittlung.”* Das Bundesamt 
für die Sicherheit in der Informations- 
technik (BSI) soll die ausreichende 
technische Sicherheit der technischen 
Analyseplattform des Forschungsda- 
tenzentrums gewährleisten. Hier sind 
Fragezeichen bzgl. der Praktikabilität 
angebracht: Letztlich muss der For- 
schende bestimmte personenbeziehba- 
re Daten mitnehmen, um sie weiter aus- 
werten zu können. Forschende Frage- 
stellungen werden regelmäßig nicht nur 
mit Transparenzdaten gemäß dem DVG 
bearbeitet werden; weitere Daten, etwa 
aus dem klinischen Bereich müssen ein- 
bezogen werden können. Zu einem Auf- 
spielen solcher Daten auf dem System 
des Forschungsdatenzentrums wie für 
eine Mitnahme von personenbeziehba- 
ren Datensätzen macht der Gesetzestext 
keine Aussage. Vielmehr hat die Bun- 
desregierung die nachvollziehbare For- 
derung des Bundesrats, eine Verknüp- 
fung der Datentransparenz mit „bereits 
existierenden Langzeitdatenbanken” zu 
ermöglichen mit dem wenig tragfähigen 
Argument zurückgewiesen, dies entsprä- 
che nicht „dem Gedanken der 88 303a ff. 
SGB V, wonach nur Ergebnisse anhand 
der von den Nutzungsberechtigten be- 
antragten Auswertungen an die Nut- 
zungsberechtigten übermittelt werden 
und keine Vervielfältigung des umfang- 
reichen Datenbestands erfolgen soll”. 

Die Achillesferse, also der wohl ver- 
letzlichste Punkt bei der Datentranspa- 
renz aus Datenschutzsicht, ist, wie das 
„spezifische Reidentifikationsrisiko 
in Bezug auf die durch Nutzungsberech- 
tigte nach & 303e beantragten Daten zu 
bewerten” ist. Diese Bewertung soll das 
Forschungsdatenzentrum durchführen 
(8 303d Abs. 1Nr. 5). Wird hier unsauber 
gearbeitet, so drohen Datenleaks. Wie 
diese Bewertung erfolgt, bedarf einer 
dauernden Hinterfragung, Transparenz 
und einer wissenschaftlichen Beglei- 
tung. Es handelt sich hier um Wesentli- 


ches, was nicht dem Verordnungsgeber 
überlassen werden kann (so aber 8 303a 
Abs. 4Nr. 4). 

Die Vertraulichkeit ist nicht ausrei- 
chend gewährleistet: Der Verweis auf 
die berufliche Schweigepflicht ist 
materiell-rechtlich richtig und sinnvoll. 
Prozedural ist er absolut unergiebig: 
& 203 StGB hat als Sanktionsinstrument 
derzeit in der Praxis keine bzw. nur sym- 
bolische Bedeutung; Ermittlungen sind 
selten; Sanktionierungen sind die abso- 
lute Ausnahme.°° Es ist nicht zu vermu- 
ten, dass die versteckte Sanktionsvor- 
schrift in 8 307b SGB V, der die Strafbar- 
keit z.B auf die bewusste Verschaffung 
von Kenntnissen über fremde Betriebs- 
und Geschäftsgeheimnisse ausweitet, 
größere Relevanz erhält. 

Problematisch ist weiterhin, dass 
keinerlei Kontrollmechanismen vor- 
gesehen sind. Es gelten lediglich die 
allgemeinen Regelungen der DSGVO, 
ohne dass spezifische Vorkehrungen 
getroffen werden. Diese könnten in Be- 
richtspflichten, in der Etablierung ei- 
nes spezifischen Kontrollgremiums, das 
z.B. regelmäßig Stichprobenprüfungen 
durchführt, und in spezifischen Sankti- 
onsmechanismen liegen. 

Dieses Defizit wird auch nicht durch 
eine verstärkte Datenschutzkontrolle 
kompensiert. Bei hochsensitiven, zent- 
ralisierten hoheitlichen Formen der Da- 
tenverarbeitung, die keinen sonstigen 
öffentlichen Kontrollmechanismen oder 
einer hinreichenden Transparenz unter- 
liegen, hat das BVerfG gegenüber dem 
generellen Aufsichtsinstrumentarium 
verstärkte Maßnahmen gefordert, etwa 
kontinuierliche Regelkontrollen.?! 

Da hier keine besonderen Geheimhal- 
tungsnotwendigkeiten bestehen, sind 
zusätzliche, nicht unbedingt auf den 
Einzelfall bezogene Transparenzmaß- 
nahmen möglich und zwecks Schaffung 
angemessener Vorkehrungen auch nö- 
tig.” Das im Grundsatz zu begrüßende öf- 
fentliche Antragsregister (& 303d Abs. 1 
Nr. 6)? ist für eine wirksame Hinterfra- 
gung mit Angaben zu Nutzungsberech- 
tigten, Vorhaben und deren Ergebnissen 
ungeeignet, solange nicht erkennbar 
ist, inwieweit welche Einzeldatensätze 
von den Nutzenden verarbeitet wurden. 

Der Bundesrat hat das Kontrollprob- 
lem erkannt und zumindest gefordert, 
dass Anträge auf Datenzugang neutral 
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zu entscheiden sind und eine unabhän- 
gige Kontrolle zu gewährleisten ist. Die 
Bundesregierung und die Bundestags- 
mehrheit sahen hierfür keine Notwen- 
digkeit: „Das Forschungsdatenzentrum 
ist eine öffentliche Stelle des Bundes, 
das der Rechtsaufsicht des Bundes- 
ministeriums für Gesundheit unter- 
steht.” Im BMG besteht aber leider we- 
der hinreichendes Problembewusstsein, 
geschweige denn die fachliche Kompe- 
tenz, dieser hochsensiblen Kontrollauf- 
gabe nachzukommen. 

Ein in der gesamten deutschen 
Rechtsordnung bestehendes Problem 
wird auch im DVG fortgeschrieben: Der 
Gesetzgeber hat völlig offengelassen, 
was überhaupt alles zur zugangspri- 
vilegierten Forschung zu zählen ist. 
Zwar hat das BVerfG eine Definition 
gegeben. Danach ist Forschung ein auf 
wissenschaftlicher Eigengesetzlichkeit 
(Methodik, Systematik, Beweisbedürf- 
tigkeit, Nachprüfbarkeit, Kritikoffen- 
heit, Revisionsbereitschaft) beruhender 
Prozess zum Auffinden von Erkennt- 
nissen, ihrer Deutung und ihrer Wei- 
tergabe. Wissenschaftliche Forschung 
ist „alles, was nach Inhalt und Form 
als ernsthafter, planmäßiger Versuch 
zur Ermittlung der Wahrheit anzuse- 
hen ist”.”” Doch kann diese Definition 
nicht ausreichen, um den Umgang mit 
personenbezogenen Daten hinreichend 
zu begrenzen und grundrechtskonform 
zu gestalten. Hierfür bedarf es spezifi- 
scher Regeln und Verfahren.’ Die erste 
Gelegenheit, solche vorzusehen, näm- 
lich die Umsetzung der DSGVO, haben 
die deutschen Gesetzgeber unerledigt 
vorbeiziehen lassen. Augenscheinlich 
ist der Leidensdruck gerade bei der 
medizinischen Forschung immer noch 
nicht groß genug, um auf die Politik 
überzuspringen. Für den Zugang zu den 
GKV-Transparenzdaten verlangt das DVG 
nicht mehr, als dass die Forschung öf- 
fentlich gefördert wird. Dabei handelt 
es sich ausschließlich um eine finanzi- 
elle Erwägung, bei welcher der Grund- 
rechtsschutz gar keine Rolle spielt und 
ein öffentliches Interesse (der Institu- 
tion, nicht des konkreten Projekts) al- 
lenfalls zu vermuten ist. Aus Sicht des 
Grundrechtsschutzes ist es dagegen 
nötig, dass Anforderungen an die Unab- 
hängigkeit, die Transparenz, die Siche- 
rungsvorkehrungen und das öffentliche 
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Interesse des konkreten Projektes ge- 
stellt werden und diese im Rahmen ei- 
nes administrativen Vorgangs geprüft, 
festgestellt und evtl. sanktioniert wer- 
den. Derartige Anforderungen könnten 
dann von der medizinischen Forschung 
auf die Forschung generell übertragen 
werden. 

Die Gesetzgeber haben sich in 
Deutschland bisher noch keine struktu- 
rierten Gedanken über die datenschutz- 
rechtliche Regulierung von Forschung 
gemacht. Die Umsetzung der DSGVO hat 
insofern bisher keine Wende gebracht.” 
Das zeigt sich nun auch beim DVG, bei 
dem unklar bleibt, wie die 88 303a-303f 
SGB V im Verhältnis zu sonstigen SGB- 
Forschungsregelungen stehen. So wer- 
den Krankenkassen und den Kassenärzt- 
lichen Vereinigungen, die auch nach 
8303eAbs. 1Nr.3u.4 berechtigt sind, in 
& 287 SGB V begrenzte Forschungsaus- 
wertungen erlaubt. Ob & 287 ergänzend 
oder alternativ anwendbar ist, ist offen. 
In verstärktem Maß stellt sich die Frage 
nach dem Verhältnis der Forschungs- 
spezialregelungen zueinander bei den 
88 67c Abs. 2 Nr. 2, Abs. 5, 75 Abs. 1, 
2 oder 4a Satz 1 SGB X. Darin erfolgen 
Zweckbeschränkungen für Forschende 
auf den „Sozialleistungsbereich”, auf 
„Arbeitsmarkt- und Berufsforschung” 
oder auf Projekte, die zum ursprüng- 
lichen Vorhaben zumindest „in einem 
inhaltlichen Zusammenhang” stehen. 
Diese pauschalen Zweckbeschränkun- 
gen dürften gegen die generelle For- 
schungsprivilegierung bei einer Se- 
kundärnutzung nach Art. 5 Abs. 1lit. b 
DSGVO verstoßen. Es handelt sich aber 
um geltendes Recht. Ob damit der in 
& 303e Abs. 2 Nr. 4 genannte generelle 
Zweck „Forschung“ eingeschränkt wird, 
müsste man gemäß dem Grundsatz, dass 
die speziellere die allgemeinere Rege- 
lung verdrängt, annehmen. 


4 Fazit 


Das Digitale-Versorgung-Gesetz ist 
mit seinen Regelungen zur Datentrans- 
parenz gut gemeint, aber schlecht ge- 
macht. Es gibt sich nominal viel Mühe, 
Vorkehrungen zum Datenschutz zu tref- 
fen. Dabei fällt auf, dass insbesondere 
technische Maßnahmen vorgesehen 
sind. Das Instrument der Pseudonymi- 
sierung wird als Generalwaffe zur Ver- 


hinderung des individualisierten Daten- 
missbrauchs in Stellung gebracht. Die- 
ser im Grunde richtige Ansatz wird aber 
dadurch konterkariert, dass für diesen 
technischen Schutz kein administra- 
tiver Unterbau geschaffen wird. Das 
Verfahren der Pseudonymisierung ge- 
nerell wie im einzelnen Projektfall setzt 
Kompetenz, Dokumentation, Erprobung 
und Kontrolle voraus. Das kostet alles 
Geld. Vielleicht war dies der Grund, wes- 
halb man hierzu keine Klärung herbei- 
führen wollte. Dieses Defizit rächt sich, 
wenn letztlich das BVerfG oder der EuGH 
feststellen sollte, dass die technisch- 
organisatorischen und prozeduralen 
Anforderungen ungenügend für den 
Grundrechtsschutz der GKV-Versicher- 
ten sind. Damit würde dem berechtigten 
Anliegen, eine bessere Datenbasis für 
die medizinische Forschung zu schaf- 
fen, ein Bärendienst erbracht. 

Kritikwürdig ist auch die systema- 
tische Stellung der Regeln zur Daten- 
transparenz im DVG: Solange bei der Da- 
tenverarbeitung noch der Risikostruk- 
turausgleich im Vordergrund stand, mag 
eine Regulierung im SGB V „unter ferner 
liefen...” noch gerechtfertigt gewesen 
sein. Diese Stellung wird aber der nun 
massiv gesteigerten Bedeutung nicht 
mehr gerecht. DasSGB ist ohnehin nicht 
für Normalverbraucher, ja selbst für Ju- 
risten kaum lesbar und verständlich. 
Durch ein eigenständiges Gesetz ohne 
die vierstellige Bezifferung von 303a bis 
303f hätte dieses Defizit zumindest ein 
wenig behoben werden können. 

Nicht verständlich ist, mit welcher 
Unkenntnis die Politik immer noch mit 
den Bedürfnissen medizinischer For- 
schung und den bestehenden rechtli- 
chen Möglichkeiten und Notwendig- 
keiten umgeht. So stellt sich schon die 
Frage, ob die umfassende Zweckprivi- 
legierung des Art. 5 Abs. 1 lit. b DSGVO 
für Statistik und Forschung hier korrekt 
umgesetzt wurde. Diese Frage muss man 
jedenfalls verneinen, wenn man die 
weiteren im SGB geltenden Forschungs- 
regelungen, die durch das DVG nicht 
ausgeschlossen sind, anwendet. 

Nicht praktikabel dürfte sich die Nut- 
zung der Datentransparenz für die uni- 
versitäre Forschung erweisen, bei der es 
um ein Verschneiden von Klinikdaten 
mit GKV-Daten geht. Hieraus könnten 
auch wichtige Rückschlüsse gezogen 
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werden auf finanzbedingte Umgehungs- 
strategien bei der GKV-Abrechnung. 
Jenseits dieses hochverminten Gebietes 
gibt es aber auch epidemiologisch sinn- 
volle und wichtige Ansätze eines sol- 
chen Verschneidens, die mit dem vorlie- 
genden DVG nicht ermöglicht werden. 

Das Digitale-Versorgung-Gesetz ist 
nun mal in Kraft. Seine Umsetzung 
muss jetzt aufmerksam, fachkundig 
und kritisch begleitet werden. Das 
Problembewusstsein hierfür scheint 
an vielen Stellen noch zu fehlen. Die- 
ses fehlende Bewusstsein kann zwei 
Irrwege zur Folge haben: Die Daten- 
transparenz verharrt weiter in ihrem 
bisherigen Dornröschenschlaf mit der 
Folge, dass wichtige Fragestellungen 
in der Medizinforschung weiterhin un- 
beantwortet bleiben. Zu befürchten ist 
aber viel mehr, dass sich eine intrans- 
parente Nutzungspraxis entwickelt, bei 
der letztlich das Grundrecht der Betrof- 
fenen auf Datenschutz auf der Strecke 
bleibt. Dies muss verhindert werden. 
Wirksam verhindert werden kann dies 
nur dadurch, dass bei dem Gesetz 
nachgebessert wird. 
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tieren und Berücksichtigung finden, 
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Patient-Verhältnis auswirken. Der per- 
sönliche Kontakt von Patienten zu ihren 
behandelnden Ärzten und umgekehrt 
wird durch den Datenschutz jedenfalls 
nicht beeinträchtigt. Das Vertrauen in 
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den Arzt ist aber in erster Linie auf des- 
sen Fachkompetenz zurückzuführen. 
Inwieweit sich das Vertrauen zu den 
Ärzten erhöht in Kenntnis des Umstan- 
des, dass in der Klinik generell Daten- 
schutzrichtlinien existieren und um- 
gesetzt werden, kann ich nicht sicher 
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beurteilen. Ich könnte mir aber sehr 
gut vorstellen, dass sich die Vertrauens- 
basis zueinander eher verstärkt, wenn 
ein Arzt dem Patienten zusätzlich das 
Gefühl vermittelt, diskret und sorgsam 
mit dessen Patientendaten umzugehen. 
Erfahrungsgemäß setzen Patienten vor- 
aus, dass mitihren Daten vertrauensvoll 
umgegangen wird. 


Welche Rolle spielt der Datenschutz 
im Verhältnis zu Angehörigen (insbe- 
sondere bei Kindern und alten Men- 
schen)? 


Es gehört zu den üblichen täglichen 
Aufgaben sowohl des ärztlichen, als 
auch des pflegerischen Personals, Fa- 
milienangehörigen Auskünfte zu er- 
teilen. Dies scheint aus Sicht der Ange- 
hörigen so selbstverständlich zu sein, 
dass man übersieht, dass Auskünfte 
gegenüber Familienangehörigen ei- 
gentlich der ärztlichen Schweigepflicht 
unterliegen. Wir Ärzte gehen still- 
schweigend von einer mutmaßlichen 
Einwilligung des Patienten aus, die 
vorsieht, dass der zu behandelnde Pa- 
tient grundsätzlich damit einverstan- 
den ist, dass seine engeren Angehö- 
rigen - zum Beispiel die Ehefrau oder 
die erwachsenen Kinder - über dessen 
Krankheitsverlauf in Kenntnis gesetzt 
werden. Und da in der Regel solche 
Gespräche mit Angehörigen immer im 
Beisein des Patienten stattfinden, darf 
ich als Arzt allgemein voraussetzen, 
dass die Einbeziehung von engeren 
Angehörigen in die Arztgespräche vom 
Patienten auch gewollt ist, es sei denn, 
er widerspricht eindeutig oder grenzt 
den Kreis derer, die informiert werden 
dürfen, im Vorfeld eindeutig ein. Te- 
lefonische Auskünfte werden nur den 
uns persönlich bekannten Angehöri- 
gen erteilt, um den Schutz der Privat- 
sphäre zu gewährleisten. Telefonische 
Auskünfte an nicht bekannte Personen 
werden nicht erteilt. 

Sofern minderjährige Kinder medizi- 
nisch behandelt werden müssen, erteilen 
wir den besorgten Eltern alsihren gesetz- 
lichen Vertretern bereitwillig die not- 
wendigen Auskünfte, insbesondere vor 
dem Hintergrund, dass die Kinder noch 
nicht einsichtsfähig sind. Meist sind wir 
auf die Eltern, allenfalls auch auf die 
Großeltern fokussiert und erteilen dar- 
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über hinaus niemandem Auskünfte. Es 
hat sich bewährt, Freunde und Bekannte 
darauf zu verweisen, sich bei den Eltern 
nach dem Gesundheitsverlauf minder- 
jähriger Kinder zu erkundigen. 

So notwendig und sinnvoll die Ge- 
spräche mit den Eltern von minderjäh- 
rigen Kindern auch sein mögen, sie 
bedürfen streng genommen aus Sicht 
des Datenschutzes der Erlaubnis, weil 
auch die Behandlung von Kindern und 
die Weitergabe von Befunden durch die 
ärztliche Schweigepflicht geschützt und 
damit limitiert ist. Die weitläufig prak- 
tizierte Regelung sieht vor, dass Ärzte 
von einer mutmaßlichen Einwilligung 
ausgehen und damit Auskünfte an die 
Eltern zum Wohle ihres Kindes erteilen 
dürfen. 

Auf wenig Verständnis dürfte die Tat- 
sache stoßen, dass unter Berufung auf 
die ärztliche Schweigepflicht die Eltern 
von einsichtsfähigen Kindern im Ge- 
gensatz zu noch nicht einsichtsfähigen, 
jüngeren Kindern nicht selbstverständ- 
lich über den Behandlungsverlauf ihrer 
minderjährigen Kinder aufgeklärt wer- 
den, obwohl sie die gesetzlichen Ver- 
treter ihrer Kinder sind. Um Verstöße 
gegen den Datenschutz zu vermeiden, 
müssten diese Jugendlichen hinsicht- 
lich der Auskunftserteilung an ihre EI- 
tern eigentlich streng genommen ihre 
Zustimmung erteilen. Ein solches Vor- 
gehen ist für Eltern schwer nachvoll- 
ziehbar. 

Ältere Menschen vertreten sich üb- 
licherweise selbst, sofern sie nicht in 
ihrer Entscheidungsfindung einge- 
schränkt sind. Wenn aufgrund körper- 
licher Gebrechen oder infolge einer 
zunehmenden Einschränkung der Hirn- 
leistung im Sinne einer Altersdemenz 
oder anderer hirnorganischer Erkran- 
kungen oder Schädigungen dies doch 
der Fall sein sollte, liegt in aller Regel 
eine Betreuung vor. Unter diesen Vo- 
raussetzungen sind wir primär gegen- 
über der von Amtswegen als Betreuer 
oder Betreuerin eingesetzten Person 
auskunftsberechtigt. Unter praktischen 
Gesichtspunkten ist in der Regel der 
Ehepartner oder ein erwachsenes Kind 
als Betreuer eingesetzt. Die Weitergabe 
von Auskünften an andere Angehöri- 
gen unterliegt Gesetzen des gesunden 
Menschenverstandes und erfolgt ohne 
Verletzung von Datenschutzrichtlinien. 


Wie die Angehörigen mit diesen In- 
formationen, die sie von Ärzten oder 
Pflegekräften erhalten und die wir üb- 
licherweise pfleglich behandelt haben, 
dann letztendlich in der Öffentlichkeit 
umgehen, wissen wir meist nicht. So- 
mit könnte sich eine Grauzone entwi- 
ckeln, wenn Angehörige plötzlich in- 
nerhalb des Familienkreises, innerhalb 
des Freundeskreises oder auch sonst 
in der Öffentlichkeit Informationen 
preisgeben, die wir eigentlich nicht 
für die Öffentlichkeit gedacht hatten. 
Auch wenn wir uns ärztlicherseits da- 
tenschutzkonform verhalten, könnte 
der Datenschutz durch zu freizügigen 
Umgang mit Patientendaten durch An- 
gehörige gewissermaßen unterlaufen 
werden. 

Anders muss der Fall bewertet wer- 
den, wenn ein behandelnder Arzt von 
einem Freund oder Bekannten eines Pa- 
tienten angesprochen und um Auskunft 
über dessen Krankheit gebeten wird. 
Er müsste in diesem Fall konkret unter 
Berufung auf die ärztliche Schweige- 
pflicht darauf verweisen, dass er keine 
Auskünfte erteilen darf. Der Arzt darf 
nur dann Auskünfte erteilen, wenn er 
ausdrücklich vom Patienten dazu legiti- 
miert worden ist. 

Aus Gründen des Datenschutzes ge- 
ben wir zu Beginn der medizinischen 
Behandlung grundsätzlich keine te- 
lefonischen Auskünfte an Personen, 
die wir nicht kennen, bzw. die wir dem 
Patienten gegenüber nicht zuordnen 
können. Ich erwarte, dass sich eine 
dem Patienten nahestehende Person 
persönlich vorstellt, damit ich weiß, 
welche persönliche Beziehung zum 
Patienten vorliegt und ob mit Einver- 
ständnis des Patienten Auskünfte er- 
teilt werden dürfen, ohne die ärztliche 
Schweigepflicht oder den Datenschutz 
zu verletzen. Im Laufe der Behandlung 
entwickelt sich meist ein gewisses Ver- 
trauensverhältnis zu den Patienten 
und deren Angehörigen, so dass ge- 
währleistet ist, dass hier den richtigen 
Personen Auskünfte erteilt werden. 

Fremden Personen, zum Beispiel 
Freunden oder sonstigen Bekannten 
(also nicht Angehörigen), werden kei- 
ne Auskünfte erteilt. Dies kann nur 
erfolgen, wenn wir dazu mündlich oder 
schriftlich ausdrücklich legitimiert 
werden. 
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Aufklärung: Im Web und bei App- 
Nutzung stimmt man ja bedenkenlos 
allen Erklärungen zu (auch wenn sie 
nicht gelesen wurden) - Wie ist das 
im Krankenhaus? 


Meine persönlichen Erfahrungen sind 
leider die, dass die Einstellung der Pa- 
tienten hinsichtlich der von ihnen mit 
Unterschrift genehmigten Erklärungen 
und Aufklärungen im Krankenhaus nicht 
viel anders ist als im Alltagsleben. Dabei 
hängt doch so viel davon ab. Der Pati- 
ent nimmt sich häufig nicht die Zeit, im 
Vorfeld den Aufklärungsbogen durchzu- 
lesen, um etwas informierter und vor- 
bereiteter mit dem Arzt das wesentliche 
Gespräch über eine bevorstehende und 
notwendige medizinische Maßnahme zu 
führen. Aufklärungsgespräche werden in 
guter Absicht und immer zweckgebun- 
den geführt, um einem Patienten einen 
von ärztlicher Seite vorgeschlagenen 
einwilligungspflichtigen medizinischen 
Eingriff zu verdeutlichen. Aufklärungs- 
gespräche dienen nicht zuletzt auch 
der rechtlichen Absicherung eines be- 
vorstehenden medizinischen Eingriffs, 
denn das Unterlassen einer Aufklärung 
bzw. die nicht erfolgte Einwilligung des 
Patienten erfüllt streng genommen den 
Tatbestand der Körperverletzung. Es 
ist die Aufgabe des Arztes, den Patien- 
ten so aufzuklären, dass dieser am Ende 
der Aufklärung nicht nur die Aussagen 
des Arztes inhaltlich verstanden hat, 
sondern in die Lage versetzt wird, ab- 
zuwägen, welche Entscheidung für ihn 
die Richtige ist. Bevor er unterschreibt, 
muss der Patient nach dem Gespräch ent- 
scheiden können, ob er sich tatsächlich - 
so wie von ärztlicher Seite vorgeschlagen 
- behandeln lässt, eingedenk der Risiken 
und Komplikationen, die aufihn zukom- 
men könnten, aber auch eingedenk des 
Nutzens, der mit einer Behandlungsmaß- 
nahme verbunden sein kann. 

Leider werden diese Aufklärungsge- 
spräche in der heutigen Zeit der Arbeits- 
verdichtung im Eiltempo und mitunter 
auch oberflächlich durchgeführt, so dass 
der Patient sie inhaltlich nicht vollstän- 
dig verstehen kann. Auch gelingt es den 
Ärzten nicht immer, Zweifel beim Patien- 
ten auszuräumen. Wenn man die Aufklä- 
rung mit dem Patienten optimal durch- 
führen will, muss man ihm nach der Auf- 
klärung auch die Möglichkeit lassen, sich 
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Gedanken zu machen. Er braucht eine 
entsprechende Bedenkzeit, um abwägen 
zu können, ob er die Behandlungen auch 
wirklich durchführen lassen will. 

Ich möchte einen Patienten nicht vor- 
verurteilen und ihn auch nicht für gleich- 
gültig erklären, wenn er ohne Nachfrage 
oder kritiklos seine Unterschrift unter ei- 
nen Aufklärungsbogen für eine medizini- 
sche Behandlung setzt. Meine Wahrneh- 
mung ist die, dass Patienten sich häufig 
darauf verlassen, dass die Ärzte schon 
das Richtige für sie tun werden. 


Einsichtnahme: Privatpatienten 
kommen eher an ihre Daten/Befunde 
etc. als Kassenpatienten - Stimmt das? 


Bis zu einem gewissen Grade dürfte 
dies wohl auch stimmen. Der Haupt- 
grund dürfte wohl der sein, dass der 
Privatpatient für seine Leistung mehr 
bezahlt als der Kassenpatient. Ich kann 
nachvollziehen, dass der behandelnde 
Arzt aus diesem Grund eher bereit ist, 
dem Privatpatienten die eine oder ande- 
re Gefälligkeit zu erweisen. Wenn dieser 
einen Auszug aus seiner Krankenakte ha- 
ben möchte, ist man geneigt, dem Privat- 
patienten dies eher zuzubilligen als ei- 
nem Kassenpatienten. Eines muss manin 
diesem Zusammenhang aber klarstellen: 
Beide, Privat- wie Kassenpatient, haben 
das gleiche Recht auf Einsicht in die 
Krankenakte und auf die Aushändigung 
von Auszügen aus der Krankenakte. Es 
istinsofern nicht gerechtfertigt, den Pri- 
vatpatienten vorzuziehen und den Kas- 
senpatienten zu benachteiligen. Auch 
ein Kassenpatient darf sich Auszüge aus 
seiner Krankenakte kopieren lassen, die 
er für seinen eigenen Gebrauch oder für 
zukünftige Behandlungen reservieren 
lassen darf. Eine Weigerung des Arztes 
käme einer Diskriminierung gleich. 


Die tägliche Arbeit: Ist der Daten- 
schutz ein Hindernis und wenn ja, 
wodurch? 


In der täglichen Arbeit empfinde ich 
den Datenschutz nicht als Hindernis, 
weil er Teil meines Handelns geworden 
ist. Wir wissen alle, dass wir mit den 
Daten unserer Patienten behutsam um- 
gehen müssen und richten uns in aller 
Regel danach. Die Berücksichtigung 
des Datenschutzes ist einer etablierten 


Fehlerkultur in einem Unternehmen 
vergleichbar und zielt darauf ab, die 
eigenen täglichen Handlungen zu opti- 
mieren und sie nahezu fehlerfrei zu ge- 
stalten. Dennoch unterstelle ich, dass 
jeder von uns in Situationen kommt, 
in denen wir oberflächlicher mit den 
Daten umgehen, anstatt uns streng da- 
tenschutzkonform zu verhalten. Auch 
kennen wir die Datenschutzrichtlinien 
nicht in- und auswendig, so dass Über- 
schreitungen durchaus, wenn auch un- 
gewollt, vorkommen könnten. 

Andererseits sind unsere Handlungs- 
spielräume schon recht umfangreich 
gestaltet, die durch Datenschutzrichtli- 
nien nicht eingeschränkt werden. Gera- 
de im medizinischen Bereich muss ein 
umfassender, kontrollierter Datenaus- 
tausch zwischen Ärzten, Pflegekräften 
und sonstigem medizinischen Hilfsper- 
sonal zum Zwecke einer sachgerechten 
Behandlung der Patienten möglich sein. 
Die Verpflichtung des Arztes, die im Ver- 
trauen geäußerten Geheimnisse des Pa- 
tienten nicht weiterzugeben, schränkt 
den Austausch von Daten grundsätzlich 
nicht ein, sofern dieser fach- und sach- 
bezogen erfolgt. Auf diese Weise werden 
Konsiliarbehandlungen zwischen Ab- 
teilungen oder Anschlussbehandlungen 
durch eine andere Abteilung im selben 
Klinikum erst möglich. Auch müssen 
Recherchen in den Informationsdateien 
möglich sein, sofern sie fallbezogen der 
Informationsgewinnung durch Einsicht 
in frühere Behandlungsakten eines Pati- 
enten dienen. 

Hingegen ist das ziellose Surfen in den 
Informationsdateien des Krankenhauses 
ebenso wenig erlaubt wie das Aufrufen 
von Krankenakten, die den „Suchen- 
den“ eigentlich nicht zu interessieren 
haben. Es ist unzulässig, dass jemand 
beispielsweise „rein zufällig” den Namen 
einer Person des öffentlichen Lebens 
in den Krankenakten findet und dann 
einmal nachschaut, woran diese Person 
erkrankt sein mag. Damit verstößt man 
eindeutig gegen Datenschutzrichtlinien 
und verletzt die Privatsphäre des betref- 
fenden Patienten. Unabhängig davon, 
ob diese Person berühmt ist oder nicht, 
liegt im vorliegenden Fall kein medizi- 
nisches Interesse vor. Ein solches un- 
befugtes Eindringen in die Privatsphäre 
wird in unserem Krankenhaus, das über 
einen Datenschutzbeauftragten verfügt, 
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geahndet, weil das unbefugte Surfen in 
den Patientendateien in unserem Haus 
untersagt ist und deshalb zur Vermei- 
dung eines Missbrauchs auch systemim- 
manent erfasst wird. 


„Halbgott in Weiß” - Gibt es den 
noch? Konkreter: Muss ein Arzt alles 
über den Patienten wissen? Müssen 
alle Ärzte alles wissen? 


Es gibt auch heute sicher immer noch 
Mediziner, die - meist in leitender Po- 
sition - von sich selbst so sehr über- 
zeugt sind, dass das Vorurteil eines 
sprichwörtlichen „Halbgottes in Weiß” 
weiter bestehen bleibt. Diesem werden 
Attribute wie Unnahbarkeit, Arroganz 
oder Überheblichkeit unterstellt. Meine 
subjektive Wahrnehmung ist die, dass 
Kolleginnen oder Kollegen dieser Prä- 
gung im täglichen Umgang zwar sehr 
anstrengend sein können, aber inter- 
essanterweise häufig über eine über- 
durchschnittliche fachliche Qualifikati- 
on verfügen. Diese Widersprüchlichkeit 
ist schon auffallend. Ich gehe dennoch 
davon aus, dass diese Spezies langsam, 
aber sicher aussterben wird. 

Die Frage, ob ein behandelnder Arzt 
„seinen“ Patienten auf der Grundlage 
medizinischer Fakten kennen muss, 
muss ich konkret mit einem eindeu- 
tigen „ja” beantworten. Ich erwarte, 
dass ein behandelnder Arzt über seinen 
Patienten detailliert informiert ist, 
insbesondere dann, wenn er ihn per- 
sönlich behandelt. Dies schließt seine 
aktuelle Krankengeschichte, frühere 
Behandlungsverläufe, sein soziales 
Umfeld, seine familiäre Situation mit 
ein. Ich erwarte auch, dass mittels Re- 
cherche in den krankenhausinternen 
Netzwerken Informationen über den 
Patienten einholt werden, die letztend- 
lich notwendig sind, um einen erfolg- 
reichen Behandlungs- und Heilungs- 
prozess einzuleiten. 

Die Frage, ob alle Ärzte alles wissen 
müssen, möchte ich wie folgt beantwor- 
ten: Viele Ärzte haben ein überdurch- 
schnittliches Wissen über medizinische 
Krankheitsbilder angehäuft, das im 
Zuge der Behandlung unserer Patienten 
sicher sehr hilfreich ist. Aber auch wenn 
man nicht alles weiß, so wie zu Beginn 
einer medizinischen Ausbildung, ist 
das Nachschlagen von Fakten in Lehr- 
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büchern oder eine Literaturrecherche 
in Internetforen keine Schande. Fach- 
liches Wissen und ein hohes Maß an 
Erfahrung, gepaart mit Empathie im 
täglichen Umgang mit Kolleginnen, 
Kollegen und mit Patienten erweisen 
sich als hilfreich für eine erfolgreiche 
Arbeit an unseren Patienten. Bis dahin 
ist es ein weiter Weg. Von jüngeren Me- 
dizinern erwarte ich insofern, dass sie 
- unterstützt von erfahrenen Kollegen - 
im Zuge der Behandlung ihrer Patienten 
beständig Konzepte und Algorithmen 
entwickeln, die es ihnen ermöglichen, 
zielgerichtet in kürzester Zeit die Dia- 
gnose eines Patienten zu sichern und 
ihn anschließend einer erfolgreichen 
Behandlung zu unterziehen. Damit er- 
füllen sie ihre Kernkompetenz. 


Datenschutz im Wartezimmer und 
am Empfangstresen. Wo liegen da die 
Probleme? 


Viele Menschen neigen in vielerlei 
Hinsicht zu extrovertiertem Verhalten 
und geben beispielsweise in sozialen 
Netzwerken auch bereitwillig Informa- 
tionen über sich preis. Dies geschieht 
meist unter dem Vorwand, man habe so- 
weit alles unter Kontrolle. In Bezug auf 
ihre Gesundheit scheinen die gleichen 
Menschen nicht unbedingt zurückhal- 
tender, allenfalls nachdenklicher zu 
sein. Andere möchten hinsichtlich ihrer 
Gesundheit grundsätzlich keine Infor- 
mationen preisgeben. Unabhängig vom 
individuellen Verhalten der Menschen 
bewegen wir uns alle interaktiv in einem 
öffentlichen Raum, in dem von Rechts 
wegen Datenschutzrichtlinien existie- 
ren, die eingehalten werden müssen. 
Auch die Arztpraxis ist ein solch öffent- 
licher Raum. 

Aus Sicht des Datenschutzes besteht 
das grundlegende Problem sowohl im 
Wartezimmer, als auch am Empfangstre- 
sen einer Praxis darin, dass warten- 
de Patienten für sie nicht bestimmte 
Informationen zu anderen Patienten 
aufschnappen könnten. Dies gilt es zu 
vermeiden. Auch wenn Patienten mit 
Informationen zum Gesundheitszu- 
stand anderer Patienten an sich nichts 
anfangen können, ist es vielen unange- 
nehm, wenn Details über ihren Gesund- 
heitszustand öffentlich werden. Leider 
lassen die baulichen Voraussetzungen 


der meisten Praxen die Einhaltung von 
Datenschutzrichtlinien nur bedingt zu. 
Dennoch darf unterstellt werden, dass 
die Praxisteams im Rahmen ihrer Mög- 
lichkeiten redlich um die Einhaltung 
des Datenschutzes bzw. um die Wahrung 
der Privatsphäre der Patienten bemüht 
sind. Das Einhalten von Abständen zu- 
einander, Sichtschutzmaßnahmen oder 
das Vermeiden einer zu lauten Kom- 
munikation sind nur einige sinnvolle 
Maßnahmen. Andererseits darf auch 
nicht unerwähnt bleiben, dass auch die 
Patienten sich darauf eingestellt haben, 
in der Praxis rücksichtsvoll und diskret 
miteinander umzugehen. 

Die Gespräche des Arztes oder der 
Ärztin mit dem Patienten über seine 
Krankengeschichte und über seine ak- 
tuellen Beschwerden finden natürlich 
datenschutzgerecht unter Ausschluss 
der Öffentlichkeit statt. 


Jetzt geht es um Datenschutz im 
Mehrbettzimmer zum Beispiel bei Vi- 
siten. Wie sieht es da aus? 


In den meisten Krankenhäusern 
werden überwiegend Zweibettzimmer 
vorgehalten. In der Regel hat jede Sta- 
tion eines Krankenhauses - auch eines 
modernen Krankenhauses - zumindest 
ein Zimmer, in dem bis zu vier Patienten 
aufgenommen werden könnten. 

Wenn in solchen Zimmern Visiten 
durchgeführt werden, stößt man hin- 
sichtlich des Datenschutzes zwangs- 
läufig auf Grenzen, zumal die Kran- 
kengeschichte eines jeden einzelnen 
Patienten zwischen Arzt und Patienten 
besprochen wird, zumeist in einer Laut- 
stärke, die das Mithören durch andere 
Patienten ermöglicht. Angehörige und 
Freunde, die Patienten besuchen, wer- 
den anlässlich der Visiten in der Regel 
gebeten, das Patientenzimmer zu ver- 
lassen. Bei den Visiten geht es in erster 
Linie darum, mit dem Patienten abzu- 
klären, welche Untersuchungen anste- 
hen, welche Diagnose gestellt worden 
ist oder welche therapeutischen Maß- 
nahmen durchgeführt werden sollen. 
Arzt und Patient sollen sich dadurch 
gegenseitig auf dem Laufenden halten. 
Während der Visiten könnten aber auch 
bittere Wahrheiten und Befunde zur 
Sprache kommen, die nicht für alle im 
Raum anwesenden Personen bestimmt 
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sind. Es liegt im Ermessen des visitie- 
renden Arztes, bestimmte Befunde nach 
Möglichkeit in einem separaten Einzel- 
gespräch sensibel und einfühlsam vor- 
zubringen. 

Trotz des Bemühens um Diskretion 
und trotz der Wahrung der Privatsphä- 
re der Patienten darf eines nicht außer 
acht gelassen werden: Ein Mehrbettzim- 
mer ist ein öffentlicher kommunikativer 
Raum. Innerhalb eines Mehrbettzim- 
mers entwickelt sich eine gewisse Soli- 
darität unter den Patienten. Man hat die 
gleichen Sorgen und Probleme wie der 
Bettnachbar und das gleiche Ziel, wie- 
der gesund zu werden. Diese Patienten 
tauschen sich über ihre Krankheiten 
und Krankheitsverläufe selber aus, so 
dass innerhalb kurzer Zeit ohnehin alle 
genau wissen, was der andere Patient 
hat. Ein gesteigertes Interesse am Da- 
tenschutz liegt in diesem Zusammen- 
hang nicht vor. Wer selbst einmal in 
einem Mehrbettzimmer als Patient ge- 
legen hat, wird dies bestätigen können. 


Wie ist der Schutz der Patientenak- 
ten gewährleistet - hier mal der alt- 
modischen in Papierform? 


Wir befinden uns im Zeitalter des digi- 
talen Umbruchs. Alle Bemühungen lau- 
fen darauf hinaus, sämtliche Patienten- 
relevanten Befunde, Anforderungen, 
Arztbriefe oder Röntgendarstellungen 
möglichst vollständig in digitaler Form 
zu erfassen. Man erreicht diese digi- 
talen Akten nur noch über die an das 
Netzwerk des Klinikums angeschlosse- 
nen Rechner mit Hilfe individueller per- 
sonenbezogener Passwörter und nur das 
Fachpersonal der Klinik ist in der Lage, 
Befunde oder sonstige Schriftstücke zu 
ergänzen oder Informationen abzuru- 
fen. Die digitalen Dokumente sind für 
die Öffentlichkeit und damit für Un- 
befugte nicht zugänglich. Dies ist ein 
wichtiger Schritt zur Sicherung der Pa- 
tientendaten. 

Parallel dazu gibt es auch eine Pati- 
entenakte in Papierform. Hier werden 
in erster Linie Dokumente wie Aufklä- 
rungs- und Einwilligungsbögen mit den 
Originalunterschriften der Patienten 
und der aufklärenden Ärzte hinterlegt. 
Auch originale EKG-Ableitungen wer- 
den in Papierform dokumentiert und 
anschließend in der Krankenakte abge- 
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legt. Da Untersuchungsbefunde nahe- 
zu ausschließlich digital aufgearbeitet 
werden, werden sie üblicherweise nicht 
in der „klassischen“ Patientenakte ar- 
chiviert. 

Da die Befunde in der „Papierakte” 
nicht wie die digitalen Befunde gesi- 
chert werden können, müssen die Ak- 
ten aus Gründen des Datenschutzes für 
Unbefugte unzugänglich sein, weshalb 
sie im sog. Stationszimmer unter Ver- 
schluss gehalten werden. 


Datenschutz-Schwächen wegen 
Überlastung? „Jetzt auch noch Da- 
ten zu schützen, schaffen wir einfach 
nicht.” 


Dass der Datenschutz unter der ge- 
nerellen Arbeitsüberlastung auch mal 
verletzt werden könnte, kann ich nicht 
sicher ausschließen. Den Schutz un- 
serer Patientendaten im eigentlichen 
Sinne praktizieren wir ja bewusst und 
unbewusst jeden Tag, unabhängig von 
der Arbeitsbelastung. Es ist auch nicht 
so, dass wir jeden Tag daran denken 
oder darauf hingewiesen werden müs- 
sen, besonders datenschutzkonform zu 
arbeiten, weil dies eigentlich zu einer 
Selbstverständlichkeit geworden ist. 
Das Schützen der Daten erfordert bei 
gut administrierten Computersystemen 
auch keine zusätzliche Arbeit. Ich will 
das an einem Beispiel erklären: Wenn 
ich einen für alle Mitarbeiter zugängli- 
chen Rechner auf einer Station benutze 
und meine Arbeit an einer Patienten- 
datei beendet habe, dann schließe ich 
meinen Account wieder so ab, dass nur 
dielegitimierten Kolleginnen und Kolle- 
gen mit ihrem eigenen Passwort Zugriff 
auf die entsprechenden Dateien haben, 
die ich neu in die Patientenakte aufge- 
nommen habe. Für andere ist der Zugriff 
gesperrt. 

Zusätzliche Arbeit wird beispielsweise 
dadurch hervorgerufen, dass im Rah- 
men der medizinischen Behandlung je- 
der Handgriff des Arztes und auch der 
Pflegekraft dokumentiert werden muss. 
Die Krankenversicherungen wollen nur 
dann entsprechende Erlöse zahlen, 
wenn auch medizinische Maßnahmen 
wie z. B. das Anlegen einer Kanüle oder 
Physiotherapie, das Durchführen von 
Beatmungstechniken genau dokumen- 
tiert wird. Mit solchen Auflagen haben 


wir bei der Einhaltung des Datenschut- 
zes nicht zu kämpfen. 


Behinderung der Behandlung durch 
Datenschutz-Hürden? Z. B. fehlende 
Erlaubnis der Datenübertragung zwi- 
schen den diversen Abteilungen und 
zwischen den medizinischen Abtei- 
lungen und den oftmals ausgeglie- 
derten Service-Unternehmen (Cate- 
ring, Transporte und Logistik ... ) 


Die Wahrscheinlichkeit, im Zuge der 
allgemeinen Behandlung von Patienten 
innerhalb einer Klinik auf Datenschutz- 
hürden zu treffen, die sich nachteilig 
auswirken könnten, ist eher gering. 
Im Interesse einer sachgerechten Be- 
handlung unserer Patienten sind die 
Handlungsspielräume und Datenflüsse 
von Rechts wegen bewusst großzügig 
ausgelegt worden, sowohl im Hinblick 
auf die Zusammenarbeit verschiedener 
Berufsgruppen, als auch im Hinblick auf 
die Inanspruchnahme verschiedener 
Fachabteilungen innerhalb und außer- 
halb der Klinik. Auf dieser Grundlage 
findet die Kommunikation bzw. der Da- 
tenaustausch zwischen den verschie- 
denen Fachabteilungen einer Klinik mit 
immensen Datenflüssen statt, aber auch 
die klinikübergreifende Kommunikati- 
on im Zuge einer notwendigen externen 
Verlegung von Patienten in eine andere 
Fachklinik unter Einbeziehung des Ret- 
tungsdienstes. Auch Serviceunterneh- 
men, die notwendige Dienstleistungen 
wie Catering, Reinigung, Transport oder 
Logistik erfüllen, sind in die Klinikab- 
läufe integriert. Diese verfügen in der 
Regel über keine Befugnisse hinsicht- 
lich der medizinischen Patientendaten. 

Grundsätzlich sind alle Mitarbeite- 
rinnen und Mitarbeiter, die in medizi- 
nischen Einrichtungen tätig sind, un- 
abhängig davon, ob regelmäßiger Pa- 
tientenkontakt besteht oder nicht, zur 
Verschwiegenheit verpflichtet und dür- 
fen ihre persönlichen Eindrücke streng 
genommen im privaten Bereich nicht 
kommunizieren. 

Sofern in speziellen Situationen den- 
noch Bedenken hinsichtlich der Einhal- 
tung des Datenschutzes oder Zweifel 
hinsichtlich der Legitimation bestimm- 
ter Maßnahmen bestehen, bedarf es in- 
dividueller Lösungen. Sofern die Klinik 
über einen Datenschutzbeauftragten 
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verfügt, können strittige Fragen zum 
Datenschutz zeitnah geklärt werden. 


Haben Sie abschließende Bemer- 
kungen? 


Es gibt durchaus Situationen, in de- 
nen sich Mitarbeiter aus medizinischen 
Bereichen beispielsweise auf der Bus- 
oder Bahnfahrt nach Hause trotz ihrer 
Verpflichtung zur Verschwiegenheit über 
bestimmte Behandlungsfälle unterhal- 
ten. Ob gewollt oder nicht werden andere 
Fahrgäste genötigt, solchen Gesprächen 
zuzuhören. Dabei werden Informationen 
und Abläufe innerhalb der Klinik oder 
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Praxis mit oft negativer Färbung wieder- 
gegeben, die auch die Behandlung von 
Patienten einschließt. Auch wenn keine 
Namen genannt werden, so werden Situ- 
ationen häufig so geschildert, dass unter 
Umständen Rückschlüsse auf die betrof- 
fenen Personen möglich wären. 

Ein weiteres Problem möchte ich ab- 
schließend noch erwähnen: Viele Besu- 
cher finden es so „cool“, wenn sie trotz 
Fotografierverbot im Krankenhaus Sel- 
fies aufnehmen und diese dann unter 
Missachtung der Privatsphäre anderer 
Menschen in den sozialen Netzwerken 
verbreiten. Im Hinblick auf die Techno- 
logien der automatisierten Gesichtser- 


kennung im Internet sehe ich da sehr 
große Probleme. 

Auf der einen Seite werden wir als in 
der Klinik Tätige ermahnt, den Daten- 
schutz jederzeit zu wahren. Wenn auf 
der anderen Seite Besucher oder gar 
Patienten selbst den Datenschutz ver- 
letzen, sind wir leider oft machtlos und 
unsere Bemühungen sind vergebens. 


* Der Interviewpartner ist der Redaktion 
namentlich bekannt. Die Genehmigung 
zur Autorennennung konnte durch die 
Klinik wegen der Coronavirus-Krise vor 
dem Druck nicht rechtzeitig erteilt wer- 
den. 


Nach dem Essen sollst du ruh’n, oder ... 
1000 Schritte zur alltäglichen Überwachung 


Am Anfang war es vielleicht der Body- 
maß-Index oder ein Schrittzähler, dann 
die spezielle Trainings-App des Fitness- 
Clubs oder die Kalorien-Überwachung 
im Diät-Programm, und heute? Die 
weltgrößte Suchmaschine wirft beim 
Stichwort „Gesundheits-App” etwa 12 
Millionen Ergebnis-Treffer aus und allein 
im Google-Play-Store finden sich über 
100.000 Apps aus dem Bereich Health/ 
Fitness!. Das Thema Gesundheit ist in 
aller Munde und bald wohl auch auf aller 
Smartphone. Eigentlich könnte es uns 
damit viel besser gehen. Doch wie sieht 
es mit den erfassten Daten aus? Der Bun- 
desgesundheitsminister ist der Meinung 
„Datenschutz ist was für Gesunde”? und 
er fordert ein „weniger verkrampftes Ver- 
hältnis zum Umgang mit den Daten”®. 
Warum der Datenschutz bei allen Apps 
im Argen liegt, insbesondere bei den- 
jenigen, die Vitaldaten erheben, soll im 
Folgenden aufgezeigt werden. Dazu stellt 
der Artikel mit einigen Studien der letz- 
ten Jahre zunächst die aktuelle Praxis 
der Datenübermittlung vor allem durch 
Fitness- und Gesundheits-Apps dar. Dann 
wird der Blick auf die diesbezügliche 
Kontrolle durch Datenschutz-Aufsichts- 
behörden gerichtet um abschließend 
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Hinweise für die App-Entwicklung zu 
geben. 

Generell ist allgemein bekannt und 
unumstritten, dass sehr viele Apps Daten 
erheben und an Hersteller oder an Apple 
oder Google übermitteln. So berichteten 
wir in der DANA 3/2019° von einem App- 
Betreiber der spanischen Fußball-Liga. 
Diesem wurde seitens der Aufsichtsbe- 
hörde ein Bußgeld auferlegt, weil die 
App ungefragt das Smartphone-Mikrofon 
nutzte, um zusammen mit Positions- 
daten des mobilen Geräts während der 
Sendezeit der Liga zu analysieren, ob die 
jeweilige Gaststätte auch Lizenzgebüh- 
ren bezahlte. Ebenso offenbarte eine im 
Frühjahr 2018 veröffentlichte Tracking- 
Studie der Universität Oxford umfassen- 
de Überwachung’: Nur 10 % der geprüf- 
ten Apps erfassten keine Daten, fast 90 % 
sendeten Daten an Google. Big-Data- 
Algorithmen erlauben dem Großkonzern 
heute, mit diesen Daten Einstellungen, 
Vorlieben und zukünftige Verhaltenswei- 
sen der Nutzenden zu berechnen; bereits 
vor zwanzig Jahren wurde in einer ameri- 
kanischen Studie gezeigt, dass allein Ge- 
burtsdatum, Postleitzahl und Geschlecht 
ausreichen, um 80 % der Bevölkerung zu 
identifizieren‘. 


Studien zu Fitness- und Gesundheits- 
Apps 


Angesichts der weiten Verbreitung 
von Fitness-Apps (im englisch-spra- 
chigen Raum auch als „self-tracking” 
vor allem der „quantified self”’-Be- 
wegung bezeichnet), die personen- 
bezogene Daten in allen Lebenslagen 
erfassen, hat ein Forschungsteam der 
Open University um Luke Hutton ein 
Verfahren entwickelt, mit dem heraus- 
zufinden ist, wie Apps sich in Bezug 
auf die Privatsphäre verhalten?. Inte- 
ressant sind die durchaus praktischen 
Fragestellungen, die zu insgesamt 26 
heuristischen Kriterien führten. So 
sollten sich App-Nutzende die folgen- 
den Fragen stellen: 
1.Werde ich vor dem Start der App darü- 

ber informiert, was mit meinen Daten 

geschieht? 
2.Habe ich die Kontrolle über meine 

Daten, wenn ich die App benutze? 
3.Kann ich auf die von mir erzeugten 

Daten zugreifen? 
4.Habe ich die Möglichkeit, die Weiter- 

gabe von Daten an Dritte zu unter- 

binden? 
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Bei den 64 getesteten Android-Apps, 
so fanden die Forscher heraus, erfüllte 
die Mehrheit nicht die entwickelten Kri- 
terien, die sowohl die Information der 
Nutzenden über Datenübermittlung als 
auch den Einblick in die Daten selbst 
umfassen. Im Gegenteil: nur eine einzi- 
ge App (Timesheet) überzeugte, indem 
sie allen Kriterien gerecht wurde. Diese 
App speichert die Daten lediglich lokal 
auf dem Smartphone. Der Durchschnitt 
aller Apps erreichte nicht einmal die 
Hälfte der Skala. Insgesamt konnte aber 
nicht von der Kategorie der App auf die 
Erfüllung von Datenschutz-Kriterien ge- 
schlossen werden, wenn auch allgemein 
festgestellt wurde: „Weight-tracking 
apps performed best, and cycling apps 
performed worst“. Besonders bedenk- 
lich scheint dem Forschungsteam die 
Tatsache, dass die Fitness-Apps weniger 
problematisch im Umgang mit dem Da- 
tenschutz waren, als die Gesundheits- 
Apps (mHealth-Apps). Sie führen das 
auf das wirtschaftliche Interesse an den 
gewonnenen sensiblen Daten zurück 
(„significant commercial value”). 

In Australien veröffentlichten Huck- 
vale und andere eine Untersuchung 
aus dem Jahr 2018 über 36 erstplat- 
zierte Depressions- und Raucher- 
Entwöhnungs-Apps". Sie hatten vorab 
festgestellt, dass bei Demenz-Unter- 
stützungs-Apps nur in 4 % der Fälle 
schriftlich zugesichert worden war, Nut- 
zungsdaten würden nicht verkauft; bei 
Diabetes-Apps waren es immerhin 22 %. 
In ihrer Analyse wollten sie herausfin- 
den, inwieweit solche Erklärungen auch 
den tatsächlichen Datenübertragungen 
der Apps entsprechen. Zwei Drittel der 
geprüften Apps hatten zumindest ei- 
nen Link zur Datenschutzerklärung. In 
etwa der Hälfte gab es Hinweise zum 
Opt-Out und Löschen vorhandener Da- 
ten. Während nur eine einzige App ex- 
plizit ausschloss, Daten mit Dritten zu 
teilen, übermittelte fast die Hälfte der 
Apps Daten, ohne darauf hinzuweisen 
- wenn überhaupt eine Datenschutzer- 
klärung vorlag. Drei Apps übermittelten 
sogar Daten, obwohl sie explizit diese 
Übertragung ausgeschlossen hatten. 
Und obwohl Google und Facebook von 
den Entwicklern verlangen, dass auf die 
Nutzung ihrer Dienste in den Erklärun- 
gen hingewiesen werden muss, erfolgte 
das bei nahezu 50 % der Apps nicht! Das 
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deckt sich im übrigen mit verschiede- 
nen Veröffentlichungen'!, die darauf 
hinweisen, dass Apps wie Flo, HRMoni- 
tor oder Realtor ungefragt sensitive Ge- 
sundheitsdaten zwecks Werbung an Fa- 
cebook weitergeben, selbst dann, wenn 
der oder die Betroffene kein Facebook- 
Konto besitzt. 

Ein Forschungsteam der Universitä- 
ten Sydney, Toronto und Kalifornien um 
Quinn Grundy nahm in ähnlicher Weise 
24 bestplatzierte Apps mit Medizin- 
Bezug unter die Lupe’?. 79 % der unter- 
suchten Apps übermittelten Daten wie 
den Geräte-Namen, die Betriebssystem- 
Version oder auch die E-Mail-Adresse an 
Entwickler oder Dritte. Ein Drittel der 
Apps nutzten Web-/Cloud-Dienste für 
App-Analyse oder Werbung und bei zwei 
Dritteln vermuten die Forscher, dass 
durch die Datensammlung und -analyse 
ein erhöhtes Sicherheitsrisiko besteht. 
Hinzu kommt, dass die Mehrheit der Fir- 
men, die als Dritte (third party) die Da- 
ten übermittelt bekommen, einräumt, 
ihrerseits die Daten wieder weiterzuge- 
ben (fourth parties). Bei all diesen Da- 
tenübermittlungen fehlt den Nutzenden 
der Apps jegliche Transparenz, ganz zu 
schweigen von der Kontrolle: „users do 
not own or control their personal data“ 
und die Forscher fordern entsprechend, 
dass einerseits die Ärzte Patienten auf 
die Gefahren hinweisen müssten und 
andererseits die Entwickler über alle Da- 
tenübertragungen informieren und eine 
Einstellmöglichkeit bieten sollten. 


Datenübermittlung durch Apps und 
Datenschutzerklärungen 


Auch eine Studie von Tech Crunch 
lenkt den Blick gezielt auf Third-Party- 
Software. Im Februar 2019 berichtete 
Nancy Lindsey'? über diese Studie, die 
Sitzungsprotokollübermittlung bei Bu- 
chungen per Expedia, Air Canada oder 
Hotels.com feststellte. Deren iPhone- 
Apps nutzen die „session replay“-Tech- 
nologie, mit der Entwicklungsfirmen 
feststellen können, welche Probleme 
bei Nutzung der App auftreten. Dabei 
werden Screenshots (digitale Fotos von 
Bildschirm-Inhalten) beim Benutzen 
der App auch ohne Einverständnis der 
Nutzenden an die App-Entwickler-Fir- 
men gesendet, ohne darin enthaltene 
personenbezogene Daten unkenntlich 


zu machen. Lindsey erwähnt in diesem 
Zusammenhang Ausweis- und Kredit- 
karten-Nummern. Unmittelbar nach 
Veröffentlichung der Studie hat Apple 
seine Entwickler darüber informiert, 
dass das Sammeln persönlicher Daten 
per „session replay“- und Tracking- 
Technologie den „App Store Review 
Guidelines“ widerspreche und dass ent- 
sprechend agierende Apps aus dem App- 
Store entfernt werden würden. Die Firma 
Glassbox sowie andere Firmen, die Soft- 
ware für die „session replay“-Technolo- 
gie entwickeln, betonten laut Bericht, 
dass dies keine Spionage-Software 
sei. Glassbox äußerte: „The technology 
was not intended for spying purposes“. 
Chris Olson, CEO von The Media Trust, 
fordert App-Entwickler auf, genauer zu 
hinterfragen, was die Software solcher 
Third-Party-Anbieter eigentlich tut. Sie 
sollten nicht nur über die eigene Daten- 
verarbeitung, sondern auch über die der 
genutzten Zusatzsoftware in den Priva- 
cy Policies informieren. Olson kommt 
zur Einschätzung, dass „This widespread 
blind spot toward third party code can 
cost companies their reputation“. 

Das Thema der Screenshot-Über- 
mittlung gelangte übrigens bereits 
2017 bezüglich einer App des Fahrtver- 
mittlers Über in die Schlagzeilen'‘. Da- 
mals ging der Sicherheitsforscher Will 
Strafach allerdings davon aus, dass die 
Uber-App die einzige App war, die von 
Apple die Berechtigung zur Aufzeich- 
nung von Screenshots im Hintergrund 
erhalten hatte. 

Ebenso hat eine Studie aus Norwe- 
gen’ das Verhalten von 21 beliebten 
kostenfreien Android-Apps analysiert. 
Innerhalb von zwei Analyse-Tagen wur- 
den durch 19 Apps Daten an insgesamt 
600 Empfänger übermittelt, von denen 
die meisten in den USA beheimatet 
sind. In einigen Datenschutzerklärun- 
gen wurde auf diesen Tatbestand nicht 
hingewiesen; bei drei der Apps fand die 
Übermittlung trotz gegenteiliger Versi- 
cherung in der Datenschutzerklärung 
statt. 

Nicht nur angesichts solcher Ergeb- 
nisse ist es unabdingbar, dass vor der 
Installation einer App auf einem Smart- 
phone auf Datenübermittlungen hinge- 
wiesen wird. In dieser Hinsicht gibt die 
Studie des Bundesministeriums für Jus- 
tiz und Verbraucherschutz „Verbrau- 
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cherinformationen bei Apps - Empi- 

rie”'‘ allerdings Anlass zu ernsthafter 

Besorgnis. Laut Abschlussbericht der 

von Infas durchgeführten Studie bildet 

die „empirische Bestandsaufnahme” 
zu Informationen und Datenschutz bei 

Apps „die wissenschaftliche Basis für die 

verbraucherpolitische Arbeit des BMJV”. 

Konkret wurden im Jahr 2017 insgesamt 

200 relevante Apps auch bezüglich der 

Datenschutzfreundlichkeit überprüft. 

Dabei standen im Vordergrund 

« die Erläuterung zur Funktionsweise 
der App im Vorfeld des Downloads, 

« die Bereitstellung aller relevanten In- 
formationen im Zusammenhang mit 
der Nutzung der App, sowohl im Vor- 
feld als auch während der Nutzung, 

« die Vollständigkeit und Datenschutz- 
freundlichkeit der Datenschutzerklä- 
rung, 

« die Notwendigkeit der eingeforderten 
Zugriffsberechtigungen für die Funk- 
tionalität der App, 

« die Individualisierbarkeit der Da- 
tenschutzeinstellungen (z. B. durch 
Opt-In- bzw. Opt-Out Möglichkeiten) 
sowie 

« das Datensendeverhalten der App. 


Es stellte sich heraus, dass sowohl 
Quantität als auch Qualität der meisten, 
oft sehr langen Datenschutzerklärungen 
mangelhaft sind. Da diese auch oft nicht 
in der App zur Verfügung stehen, emp- 
fiehlt das Forschungsteam, die Hinwei- 
se direkt im App-Store zu platzieren, sie 
inhaltlich konkret auf die App-Nutzung 
zu beziehen und außerdem auf gut 1000 
Wörter zu kürzen. Erstaunlich ist auch, 
dass besonders in den Bereichen Spiele, 
Kinder und Fitness/Gesundheit „deutli- 
che Defizite bei der Verfügbarkeit der Da- 
tenschutzerklärung festgestellt” wurden. 
Die Mehrheit der Apps schneidet schlecht 
ab, keine App erreichte die Bestnote, nur 
4% erreichten ein „gut“. Außerdem wur- 
de geprüft, ob beim ersten Öffnen aktiv 
auf die Datenschutzbestimmungen hin- 
gewiesen wird. Das war bei 70 % der Fit- 
ness-/Gesundheits-Apps nicht der Fall. 


Forderungen der Datenschutz- 
Aufsichtsbehörden 


Bereits 2012 gab die Kanadische 


Datenschutz-Aufsichtsbehörde einen 
Leitfaden für die App-Entwicklung’”’ 
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heraus. In der darin enthaltenen Check- 
liste wird die Verantwortung der App- 
Entwickler für die Datenverarbeitung 
hervorgehoben und ein besonderer 
Schwerpunkt auf Transparenz gelegt: 
„Be open and transparent about your 
privacy practices”. Gemäß dieser For- 
derung soll die Datenschutzerklärung 
(privacy policy) den Nutzenden in ein- 
facher Sprache erklären, was die App 
mit den erhobenen Information tut. 
Um das auf den kleinen Bildschirmen 
der Mobilgeräte optimal zu gestalten, 
empfiehlt die Checkliste, verschiedene 
Ebenen zu nutzen, eine Übersicht über 
die Datenschutzeinstellungen mit Än- 
derungsmöglichkeit anzubieten und 
visuelle Elemente wie Grafiken, Farben 
und Töne einzusetzen. Schließlich wird 
betont, dass die Datensammlung nicht 
über das Benötigte hinausgehen soll: 
„Do not collect data because you think it 
may be useful in the future“. 

Ein Jahr später, 2013, erschien das Pa- 
pier „Opinion 02/2013 on apps on smart 
devices”'® der europäischen Article 29 
Data Protection Working Party, in dem 
die Problematik ausführlich geschildert 
wird und verschiedene konkrete Anwei- 
sungen und Empfehlungen an App-Ent- 
wickler, Geräte- und Betriebssystem- 
Hersteller, App-Stores und Third-Party- 
Entwickler gegeben werden. Darunter 
befindet sich auch eine 14-Punkte-Lis- 
te, in der beispielsweise zum automati- 
schen Löschen des Accounts bei Inak- 
tivität aufgerufen wird: „App developer 
must [...] predefine a period of inactivity 
after which the account will be treated as 
expired”. 

Der Düsseldorfer Kreis (der deut- 
schen Datenschutzaufsichtsbehörden 
im nichtöffentlichen Bereich) veröf- 
fentlichte 2014 die „Orientierungshilfe 
zu den Datenschutzanforderungen an 
App-Entwickler und App-Anbieter”"?. 
Laut Eigenaussage zeigt sie „daten- 
schutzrechtliche und technische Anforde- 
rungen auf und macht diese anhand pla- 
kativer Beispiele verständlich”. 2016 hat 
das Bayerische Landesamt für Daten- 
schutzaufsicht einen darauf aufbauen- 
den, 45 Punkte umfassenden „Prüfka- 
talog für den technischen Datenschutz 
bei Apps mit normalem Schutzbedarf”?° 
erstellt. Auf dessen Basis finden au- 
genscheinlich die Kontrollen durch 
die Aufsichtsbehörde statt. Da sich die 


Orientierungshilfe am damaligen Geset- 
zesstand abarbeitet, ist sie heute unter 
der DSGVO nur bedingt nutzbar, besteht 
doch bei allen Verweisen Unsicherheit 
über die aktuelle Rechtslage. 

Im Bezug auf das Vorgehen bei der 
Überprüfung, ob eine App die gesetzli- 
chen Bedingungen einhält, beschloss 
die Datenschutzkonferenz (der Bun- 
des- und Landesdatenschutzbeauftrag- 
ten) in ihrer „Hambacher Erklärung”?! 
im Frühjahr 2019 anlässlich der Über- 
tragung von Daten an Facebook (au- 
tomatisch bei Nutzung des Software- 
Development Kits) „Prüfszenarien für 
eine entsprechende Kontrolle von Apps 
zu entwickeln“, deren Ziele gemeinsame 
Prüfstrategien und Kontrollen sind. 


Hinweise für die App-Entwicklung 


Bei der Suche nach möglichst konkre- 
ten Hinweisen für die App-Entwicklung 
sticht auf europäischer Ebene der „Pri- 
vacy Code ofConduct on mobile health 
apps””” des European Data Protection 
Board hervor. Die Arbeit an diesem Ver- 
haltenskodex wurde 2015 aufgenom- 
men und kurz vor dem Inkrafttreten 
der EU-Datenschutz-Grundverordnung 
(DSGVO) fertig gestellt. Die Anpassung 
an die DSGVO steht noch aus, doch soll- 
ten auch jetzt schon die Hinweise bei 
der App-Entwicklung beachtet werden. 
Sie beinhalten unter anderem Forderun- 
gen bezüglich 
« Einverständniserklärung (user con- 
sent) - frei, spezifisch und informiert 
Zweckbindung und Datenminimie- 
rung (purpose limitation and data 
minimisation) - Verarbeitung nur für 
spezifische und legitimierte Zwecke; 
Verarbeitung nur der absolut notwen- 
digen Daten 
Privacy by Design und by Default - Be- 
achtung des Datenschutzes in jedem 
Entwicklungsschritt und bei jeder 
Wahlmöglichkeit für den Nutzenden; 
defaultmäßig datensparsame Vorein- 
stellungen 
Werbung (advertising) - Unterschei- 
dung zwischen Werbung, die auf 
personenbezogenen Daten basiert 
(Opt-In-Einverständniserklärung 
zwingend) und allgemeiner Werbung 
(Opt-Out möglich) 

° Übermittlung an Dritte (disclosing 
data to third parties for processing 
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operations) - Vorabinformation des 
Nutzenden; bindender Vertrag mit 
dem/der Dritten. 


Weitere, teils ausführliche Hinwei- 
se sowohl für die Entwicklung als auch 
für die Benutzung von Gesundheits- 
Apps finden sich in der aus den Jahren 
2015/2016 stammenden umfassenden 
Studie „Charismha””® der Medizi- 
nischen Hochschule Hannover, die 
durch das Bundesgesundheitsministe- 
rium gefördert wurde. Allerdings sind 
die Hinweise an die Entwickler natur- 
gemäß allgemeiner Natur, so dass zu 
fragen ist, wie in einem konkreten Fall 
vorgegangen werden soll. Dies stellte 
Corinna Giebler mit ihrer Arbeit an der 
Universität Stuttgart 2017” anhand 
des Gesundheitsspiels „Secure Can- 
dy Castle” vor, in das sie exemplarisch 
Datenschutzmechanismen einbaute. 
Durch die Verbindung des Spiels mit 
einem Datenschutzsystem ist es bei der 
Benutzung möglich, selbst zu entschei- 
den, welche sensiblen Daten mit der App 
geteilt werden sollen. Der interessante 
Aspekt dieser Arbeit ist die Anpassung 
der App-Funktion an die individuell 
getroffenen Einstellungen. Dies war bis 
dato in anderen Gesundheits-Apps nicht 
realisiert. 

Das oben erwähnte Team von Hutton 
an der Open University sieht seine Eva- 
luations-Methode als Möglichkeit für 
Entwickelnde, den Grundsatz Privacy by 
Design umzusetzen: „Our heuristic eva- 
luation method supports the retrospecti- 
ve evaluation of privacy in self-tracking 
apps and can be used as a prescriptive 
framework to achieve privacy-by-design 
in future apps. ”” 

Insgesamt aber, so stellt Trix Mulder 
von der Universität Groningen fest?%, 
ist die Diskrepanz zwischen den Mar- 
keting-Aussagen zu Gesundheits-Apps 
und den Datenschutzerklärungen sehr 
groß und kann nur dadurch behoben 
werden, dass App-Entwickler aus dem 
Gesundheitsbereich mit den nationa- 
len und europäischen Datenschutzauf- 
sichtsbehörden ähnlich intensiv zusam- 
menarbeiten wie dies der Gesundheits- 
sektor mit der pharmazeutischen Indus- 
trie bereits praktiziert: „together they 
can create solutions which benefit all”. 
Allerdings stellt sie auch klar, dass Ge- 
setze und Kontrolle allein nicht reichen, 


34 


sondern Kampagnen verschiedener 
gesellschaftlicher Gruppierungen das 
Thema voran bringen müssen: „It is also 
very much a societal challenge, which 
could be addressed by societal organi- 
sations (such as patient organisations, 
consumers associations, etc.) via various 
campaigns.“” Dies kann aus Sicht der 
DVD nur unterstützt werden. 
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Mike Kuketz 


Implantateregister-Errichtungsgesetz „Zu Risiken und 
Nebenwirkungen fragen Sie den Gesundheitsminister” 


1 Bittere Medizin 


Man mag hinter dem Titel „Implan- 
tateregister-Errichtungsgesetz (EIRD)”' 
zunächst die Spannung eines Beipack- 
zettels vermuten. Was man allerdings zu 
lesen bekommt, ist eine konzentrierte 
Dosis „Gesundheits-Big Data“. Überra- 
schen kann dies nicht, sofern man die 
„Digitalcharta Innovationsplattform: D” 
der CDU gelesen hat. Die Partei will dort 
„weg vom Grundsatz der Datensparsam- 
keit und hin zur Datensouveränität”.? 

Stellt man der Datenminimierung die- 
sen Begriff gegenüber, mag man zwar 
Datensouveränität schreiben, meint 
aber Datenreichtum. Gleichzeitig hat 
für die CDU die Willensbekundung ei- 
nes Bürgers in Form einer Einwilligung 
ausgedient: „Die Regulierung des Da- 
tenschutzes basiert zentral darauf, dass 
Nutzer der Verarbeitung ihrer Daten 
zustimmen. Was früher ein plausibles 
Konzept war, funktioniert heute nicht 
mehr.”? 

Denn den Imperativ von Big Data hat 
die CDU augenscheinlich verinnerlicht: 
Daten müssen frei fließen. Auch bei 
sensiblen Gesundheitsdaten „müssen 
Daten im Gesundheitssystem - unter Be- 
rücksichtigung des Schutzes personen- 
bezogener Daten - erstens frei fließen”.‘ 

Wem nun bittere Medizin schwant, 
liegt (leider) richtig. Denn das EIRD 
verpflichtet Implantat-Empfänger Ge- 
sundheitsdaten in einem zentralisier- 
ten Register speichern, verarbeiten 
und „pseudonymisiert” zur weiteren 
Nutzung zu überlassen. Die Pflicht zur 
Datenbereitstellung ersetzt eine infor- 
mierte Zustimmung des Patienten oder 
der Patientin und degradiert ihn oder 
sie zum zwangsrekrutierten Daten- 
lieferanten für eine umfangreiche Ge- 
sundheitsdatenbank. Zu hart geurteilt? 
Kaum. Denn, so verrät uns 8 16 des Ge- 
setzes, insbesondere Anamnese- und 
Befunddaten, Voroperationen, sowie 
Gewicht und Größe gehören zu den mel- 
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depflichtigen Daten. Der Datenschatz 
der im Vertrauensverhältnis zwischen 
Arzt und Patient auf einem Anamnese- 
bogen? weitergeben wird, kann nach 
dem Big Data Imperativ nicht unter dem 
Schutzmantel der ärztlichen Schweige- 
pflicht verbleiben. 

Um es konkret anhand eines Beispiels 
darzustellen: Es kann viele persönliche 
und medizinische Gründe haben, war- 
um eine geneigte Leserin Brustimplan- 
tate benötigt. Diese Entscheidung mag 
teilweise selbstbestimmt, aber auch den 
Umständen geschuldet sein. Aber über 
die Information(en), ob sie übergewich- 
tig ist, raucht, an Heuschnupfen leidet 
oder zur Verhütung die „Pille“ verwen- 
det, bestimmt sie fortan nicht mehr. 
Denn diese Daten mehren nun den Da- 
tenreichtum des Gesundheitssystems. 
Wer sich nun fragt, welche Implantate 
noch von dem Gesetz umfasst sind‘® 
- Herzklappen / andere kardiale Im- 

plantate, 

- implantierbare Defibrillatoren, 
- Herzschrittmacher, 

- Cochlea-Implantate, 

- Neurostimulatoren, 

- Brustimplantate, 

- Gelenkendprothesen, 


Bild: iStock 


- Bandscheibenprothesen, 
- Wirbelkörperersatzsysteme, 
- Stents. 


Nebenbei bemerkt: Die Pseudonymi- 
sierung soll zwar „eine Identifizierung 
ausschließen”.’ Fraglich ist allerdings, 
wie der Einsatz einer eindeutigen, un- 
veränderbaren ID, wie der Kranken- 
versichertennummer, als Grundlage 
(8 9 Abs. 2 EIRD) dazu geeignet ist, den 
angegebenen Zweck zu erfüllen. Viel- 
mehr scheint ein eindeutiger Identifier 
vonnöten zu sein, um die anfallenden 
Daten korrekt zuordnen zu können - die 
Facebook User-ID lässt grüßen. 


2 Gefühl des Ausgeliefertseins 


Sofern sich nun ein Gefühl des Aus- 
geliefertsein beim Leser einstellt und 
er sich erhofft, zumindest ein Wider- 
spruchsrecht zu haben, der übersieht, 
dass „Daten frei fließen müssen”. Ano- 
malien, wie eine individuelle Entschei- 
dung sind bei Big Data nicht vorgese- 
hen. Deswegen hat Herr Spahn konse- 
quent den Anspruch auf Widerspruch 
oder Einschränkung der Verarbeitung 
(also Sperrung) ausgeschlossen (& 26 
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EIRD) - mit der Ausnahme für Daten, 
die aus bereits bestehenden Registern 
übernommen werden. 

Ein Ausschluss von Betroffenenrech- 
ten mag bei Kontaktdaten unter Um- 
ständen noch zu rechtfertigen sein, 
sofern ein Implantat-Typ Probleme 
verursacht und der Betroffene rasch 
informiert werden muss. Hier mag die 
Begründung greifen, dass ein Allge- 
meininteresse® gegenüber dem Recht 
auf informationelle Selbstbestimmung 
überwiegt. Den Zweck der Kontakt- 
aufnahme suggeriert zwar indirekt der 
Gesetzestitel. In Wahrheit gehen die 
erhobenen Daten weit über das erfor- 
derliche Maß dieser staatlichen Für- 
sorge hinaus. Insofern scheint sowohl 
die Pflicht die Daten bereitzustellen 
als auch jeden Widerspruch zu unter- 
binden nur konsistent mit der Digital 
Charta der CDU. Dies ist auch kein Zu- 
fall, denn Herr Spahn wollte so ver- 
pflichtend wie möglich, mit so wenig 
„Ausweichmöglichkeiten” wie nötig, 
die Datennutzung ermöglichen.? 

Man liest zwar in der Gesetzesbegrün- 
dung des EIRD mit Erstaunen, dass ein 
freiwilliges Register für Endoprothesen 
der Deutsche Endoprothesenregister 
(EPRD) mit einer Teilnehmerquote von 
90% aufwarten kann!’ - offenbar hat 
hier das Konzept der Einwilligung funk- 
tioniert. Interessanterweise scheinen im 
Falle des EPRD das eigentliche Problem 
die Gesundheitseinrichtungen zu sein, 
die sich nur rund zu 60% beteiligen. 


3 Entgegen aller Bedenken 


Sei es wie es sei; auch entgegen der 
Bedenken des Bundesrates (fehlendes 
Widerspruchrecht)'' hat der Herr Spahn 
unbeirrt den freien Fluss der Gesund- 
heitsdaten ermöglicht. Natürlich geht 
es dem Bundesgesundheitsminister, wie 
er selbst sagt, nicht darum, die Daten 
von Max Müller nachzuvollziehen (sie- 
he Video En. 9). Denn das Individuum 
spielt bei Big Data auch keine Rolle - 
lediglich der Datenfluss ist entschei- 
dend. Dennoch trägt der Betroffene das 
volle unkalkulierbare Risiko. Erst die- 
sen September hatte Jens Spahn noch 
den Eindruck, es nehmen immer noch 
nicht alle, aber immer noch zu viele, 
das Thema Datensicherheit zu sehr auf 
die leichte Schulter.” Wir erinnern uns, 
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u.a. waren Röntgenaufnahmen frei im 
Netz zugänglich.” 

Natürlich sollen die Daten nach dem 
EIRD Schutzmaßnahmen unterliegen 
- Datensicherheit, nur Einsicht durch 
Personal mit Schweigepflicht, Pseud- 
onymisierung, Anonymisierung, ver- 
schlüsselte Übertragung. Diese Faktoren 
spielen allerdings nur nachgeordnet eine 
Rolle, denn die schiere Breite (Volume) 
und Tiefe (Variety) der erhobenen Daten 
ermöglicht jederzeit jedem Empfänger 
eine Re-Identifizierung. Die unkont- 
rollierte Weitergabe innerhalb des Big- 
Data-Datenflusses an einen großen Emp- 
fängerkreis (Hochschulen, öffentliche 
Stellen, andere Einrichtungen die wis- 
senschaftliche Forschung betreiben, ver- 
antwortliche Gesundheitseinrichtungen, 
medizinische Fachgesellschaften) zu 
„wissenschaftlichen Zwecken” (81 Abs. 
2 Nr. 6 EIRD) ist das erste Kernproblem. 
Denn es führt zu einer, diesem Konzept 
inhärent anhaftenden Intransparenz. 
Weder der Betroffene, noch einer der 
Verantwortlichen ist in der Lage, Verstö- 
ße gegen die Datensicherheit zu bemer- 
ken, geschweige denn aufzuklären oder 
Abhilfe zu schaffen. Datensätze unter- 
liegen genauso wenig wie Algorithmen 
einer ärztlichen Schweigepflicht. Letzt- 
lich ist zudem ungewiss, ob die wis- 
senschaftlichen Ergebnisse dann auch 
dem Allgemeinwohl dienen werden oder 
der neoliberalen Risikominimierung des 
Faktors Mensch zuarbeiten - dessen vor- 
geblich irrationales Verhalten vorherge- 
sagt und eingehegt werden muss, um alle 
gesellschaftlichen Prozesse möglichst 
effizient und wirtschaftlich zu gestalten. 


4 Fazit 


Wie der Report „Special Rapporteur on 
extreme poverty and human rights” der 
UN in der Zusammenfassung sagt: „The 
digital welfare state is either already 
a reality or is emerging in many coun- 
tries across the globe. [...], systems 
of social protection and assistance are 
increasingly driven by digital data and 
technologies that are used to automate, 
predict, identify, surveil, detect, target 
and punish.“'* „Der Mensch steht im 
Mittelpunkt“. So steht es mehrfach in 
der Digital Charta der CDU. Bei Big Data 
stehen die Daten eines Menschen im 
Mittelpunkt. 


Denjenigen, denen es an Ausgewo- 
genheit in diesem Kommentar fehlt, 
durch die abwesende Aufzählung der 
Vorteile und Chancen, die aus diesem 
Gesetz entstehen, möchte ich folgen- 
des entgegnen: „The justification is 
simple. There are great many cheerlea- 
ders extolling the benefits, but all too 
few counselling sober reflection on the 
downsides.”'® Das kritische Hinterfra- 
gen wäre wohl auch die Aufgabe des 
Bundesdatenschutzbeauftragten Ulrich 
Kelber gewesen. Nur findet sich sein 
Name nicht auf der Tagesordnung der 
öffentlichen Anhörung vom Juni 2019. 
Es stellt sich die Frage, ob er überhaupt 
eingeladen war. 

Der oben stehende Text wurde erst- 
mals veröffentlicht unter www.kuketz- 
blog.de. 
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Pressemitteilung des Arbeitsbündnisses gegen Datenmissbrauch in der Medizin 


vom 01.12.2019 


„Ärztliche Schweigepflicht über gesetzliche Willkür” - 
Arbeitsbündnis gegen Datenmissbrauch in der Medizin 


gebildet 


Am vergangenen Samstag trafen 
sich in Frankfurt über 20 Datenschutz- 
Initiativen und zahlreiche kritische 
Bürger. Eingeladen hatte das Deut- 
sche Psychotherapeuten Netzwerk. 
Die Teilnehmer einigten sich auf ein 
gemeinsames Arbeitsbündnis gegen 
Datenmissbrauch in der Medizin. „Es 
ist fünf vor zwölf. In einem Jahr sollen 
alle Daten gesetzlich Versicherter in 
einer Cloud gespeichert werden und 
dort nicht nur allen anderen Behand- 
lern eines Patienten, sondern auch 
der Forschung zugänglich gemacht 
werden.” so der Netzwerkvorsitzende 
Dieter Adler. Das Deutsche Psychothe- 
rapeuten Netzwerk warnt seit Jahren 
vor den weitreichenden Folgen der 
Speicherung von Patientendaten an 
einem zentralen Ort. Aber damit wa- 
ren sie nicht allein. Viele Initiativen 
kämpfen in Deutschland für einen bes- 
seren Datenschutz der medizinischen 
Daten und gegen die blindwütige und 
unüberlegte Zwangsdigitalisierung 
der Medizin. 

Datenskandale der letzten Jahre, be- 
sonders in jüngster Zeit, haben bewie- 
sen, dass die Technologie bei weitem 
nicht so sicher ist wie versprochen. 
Selbst die für die Gesundheitscloud 
zuständige gematik GmbH - überwie- 
gend im Staatsbesitz - musste unlängst 
zugeben, dass 90% der Arztpraxen 
unsicher angeschlossen sind - sprich 
für Hacker angreifbar. Das konnte der 
Datenschutzexperte Jens Ernst aus 
Schwerte nachweisen: vor laufenden 
Kameras des NDR hackte Ernst eine 
Arztpraxis im Handumdrehen - selbst- 
verständlich mit Testdaten. 

Dass die Patientendaten mit veral- 
teter Technologie gespeichert werden 
sollen, hatte die Fachpresse schon lan- 
ge kritisiert. Dass die jetzige Version 
der elektronischen Patientenakte in 
der Gesundheitscloud (ePA) ein Mil- 
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liardengrab ist, musste vergangene 
Woche auch gematik-Chef Dr. Markus 
Leyck Dieken in einem Interview mit 
dem ärztlichen Nachrichtendienst ein- 
gestehen: „Damit die ePA in den meis- 
ten Arztpraxen pünktlich zum 1. Ja- 
nuar 2021 funktioniert, ist eine vierte 
Variante des Konnektors erforderlich.” 
Der Konnektor ist ein etwa 2.800 Euro 
teures Verbindungselement, das den 
Praxisrechner über das Internet mit 
dem Cloudserver der Gesundheitsc- 
loud verbindet. Der muss jetzt offen- 
bar in vielen Arztpraxen ausgetauscht 
werden - auf Kosten der gesetzlichen 
Krankenversicherungen. 

Das Arbeitsbündnis gegen Daten- 
missbrauch in der Medizin spricht 
sich nicht grundsätzlich gegen die 
Digitalisierung aus. „Wir alle arbei- 
ten mit Computern, speichern dort 
die Patientendaten ab. Bisher nur in 
der Praxis selbst, auf Rechnern, die 
selbstverständlich nicht am Internet 
angeschlossen sind. Jetzt sollen wir 
alle zwangsweise am Internet ange- 
schlossen werden und ebenso zwangs- 
weise die Daten unserer Patienten dort 
ablegen.”, so der Netzwerk-Vorsitzen- 
de Dieter Adler. 

In einer repräsentativen Umfrage 
des Psychotherapeuten Netzwerks 
wussten 44% der befragten Versicher- 
ten nichts von der Gesundheitscloud. 
86% lehnten die zentrale Speiche- 
rung ihrer medizinischen Daten in 
der Cloud ab. Vergessen werden darf 
dabei nicht, dass in der Cloud brisan- 
te Daten gespeichert werden - mit oft 
weitreichenden Folgen für Betroffene. 
Während grippale Infekte oder eine 
Zahnwurzelbehandlung noch harmlos 
sind, können Geschlechtskrankheiten, 
Schwangerschaftsabbrüche, psycho- 
therapeutische Behandlungen und 
Daten sowie Suchtmittel oder Alkohol- 
abhängigkeit durchaus weitreichende 


Folgen haben. Nicht zu vergessen: Die 
Daten müssen mindestens zehn Jahre 
gespeichert bleiben. „Da kann schon 
mal eine depressive Krise, die bei ei- 
nem Zwölfjährigen psychotherapeu- 
tisch behandelt wurde, vielleicht weil 
sich die Eltern getrennt haben, mit 21 
noch zum Verhängnis werden: der jun- 
ge Mensch weiß vielleicht nichts mehr 
davon - die Akte in der Cloud schon!” 

Auch Dritte haben jetzt Interesse an 
den Daten angekündigt. So forderte im 
Juni der Verband der Betriebsärzte, die 
Deutsche Gesellschaft für Arbeitsmedi- 
zin und Umweltmedizin (DGAUM), die 
Politik auf, ebenfalls Einblick in die 
Gesundheitscloud zu bekommen. Da- 
mit werden Einstellungs- und Weiter- 
beschäftigungsuntersuchungen zum 
„Kinderspiel“ - der Arbeitgeber kann 
alle Krankheiten des Arbeitnehmers 
lückenlos erfahren. Daten- und Per- 
sönlichkeitsschutz wird so zur Farce: 
Wer dem Betriebsarzt den Einblick 
verweigert, kann die Einstellung oder 
Weiterbeschäftigung vermutlich ge- 
trost vergessen. Und Schwangerschaf- 
ten würden auch sofort publik. Das 
neugegründete Arbeitsbündnis gegen 
Datenmissbrauch in der Medizin will 
die Öffentlichkeit informieren und 
gleichzeitig mit Behandler- und Pati- 
entenvertretern sowie Datenschützern 
neue Modelle der Digitalisierung ent- 
wickeln. 


Deutsches Psychotherapeuten Netz- 
werk - Kollegennetzwerk Psychothe- 
rapie - Berufs- und Interessenver- 
band psychotherapeutisch Tätiger, 
Heckenweg 22, 53229 Bonn, Tel.: 0228 
- 8505165, Email: post@dpnw.info, 
www.dpnw.info 


37 


Gemeinsame Pressemitteilung des Bündnisses „Gesichtserkennung stoppen“ 


vom 9.1.2020 


Bündnis fordert Verbot automatisierter Gesichtserkennung 
Aktuelle Pläne des Innenministeriums müssen gestoppt 


werden 


Ein Bündnis aus zivilgesellschaftlichen 
Organisationen wendet sich gegen den 
Vorstoß des Innenministeriums, an 135 
Bahnhöfen und 14 Flughäfen automati- 
sierte Gesichtserkennung einsetzen zu 
wollen. Stattdessen fordert das Bündnis 
„Gesichtserkennung stoppen” ein Verbot 
dieser hochproblematischen Technologie 
in Deutschland. Auch wenn eine Verbes- 
serung der Sicherheit etwa an Bahnhö- 
fen grundsätzlich sinnvoll erscheint, ist 
automatisierte Gesichtserkennung als 
Mittel dafür nicht nur ungeeignet, son- 
dern hat immense negative Folgen für 
Millionen Passanten und Reisende. 

Automatisierte Gesichtserkennung 
bedeutet eine permanente heimliche 
Personenüberwachung in öffentlichen 
Räumen wie Bahnhöfen oder Flug- 
häfen. Die Körperdaten aller Vorbei- 
laufenden werden dabei erfasst und 
automatisiert mit Datenbanken ab- 
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geglichen, ohne dass die Betroffenen 
dies bemerken müssen. Damit greift 
die automatisierte Gesichtserkennung 
tief in die Rechte und Freiheiten von 
Menschen ein, wenn biometrische Kör- 
perdaten quasi im Vorbeigehen und an- 
lasslos analysiert werden. 
„Automatische Gesichtserkennung ist 
eine Hochrisikotechnologie”, erklärt 
Viktor Schlüter von der Organisation 
Digitale Freiheit: „Hohe Falscherken- 
nungsraten, die Diskriminierung von 
Frauen und People of Color und das 
enorme Missbrauchspotential stellen 
eine Gefahr für die Demokratie dar.” 
„Dieses unnötige und invasive Biome- 
triesystem ist nur ein weiterer Baustein, 
den maschinenlesbaren Menschen zu 
schaffen. Allein durch das zufällige 
Vorbeilaufen legen wir mit unseren Kör- 
perdaten eine digitale Spur, die uns alle 
auch wegen der Unzuverlässigkeit der 


eingesetzten Algorithmen in unseren 
Rechten und Freiheiten einschränkt“, 
sagte Dirk Engling, Sprecher des Chaos 
Computer Clubs. 

„Die optische Vermessung von Ge- 
sichtern droht eine weitere Form der 
anlasslosen Überwachung zu werden, 
nur diesmal mit detaillierten Körperda- 
ten”, fügt Rainer Rehak vom Forum In- 
formatikerInnen für Frieden und gesell- 
schaftliche Verantwortung hinzu. „Wir 
müssen uns jetzt diesen gefährlichen 
Plänen in den Weg stellen, bevor immer 
mehr öffentliche Räume mit biometri- 
schen Erkennungssystemen bestückt 
werden, die zudem nicht einmal mehr 
Sicherheit bringen.” 

„Der Einsatz dieser Technologie zur 
Überwachung des öffentlichen Raumes 
schränkt auch politische Teilhabe ein: 
Wer fürchten muss, automatisch erfasst 
zu werden, wird im Zweifel eher nicht an 
einer Demonstration teilnehmen”, gibt 
Elisabeth Niekrenz von der Digitalen 
Gesellschaft zu bedenken. 

Im Lichte stetig sinkender Kriminali- 
tätsraten in Deutschland besteht nicht 
nur keinerlei Notwendigkeit für neue, 
teure und ineffiziente Überwachungs- 
maßnahmen zur anlasslosen Erfas- 
sung von Körperdaten von Reisenden, 
sondern ist es Zeit, ein Verbot dieser 
gesellschaftlich schädlichen Techno- 
logie in die Wege zu leiten. Ein Verbot 
automatisierter Gesichtserkennung in 
Deutschland hat bereits Vorbilder: Meh- 
rere US-amerikanische Großstädte ha- 
ben den Einsatz der Technologie durch 
staatliche Stellen im öffentlichen Raum 
aufgrund der damit verbundenen Ge- 
fahren verboten. Der Stadtrat von San 
Francisco etwa bezeichnete automati- 
sierte Gesichtserkennung als „gefähr- 
liche Waffe” sowie als inkompatibel mit 
einer gesunden Demokratie und verbot 
ihren Einsatz. 
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Dass die teure Technik überhaupt 
einsatzreif ist und den erhofften Zweck 
erfüllt, ist zudem zweifelhaft: In einem 
Gesichtserkennungstest von Innenmi- 
nisterium und Bundespolizei im Jahr 
2018 in Berlin war die Falscherken- 
nungsrate so hoch, dass mehr als jede 
200. Person fälschlicherweise erkannt 
wurde. Dies würde allein am geteste- 
ten Berliner Bahnhof Südkreuz zu täg- 
lich 600 Fehlalarmen führen. Der Chaos 
Computer Club und das Forum Informa- 
tikerInnen für Frieden und gesellschaft- 


liche Verantwortung kritisierten die un- 
wissenschaftliche Vorgehensweise und 
Auswertung der Tests sowie die deutlich 
geschönten Testergebnisse. Das Forum 
InformatikerInnen für Frieden und ge- 
sellschaftliche Verantwortung fordert 
die detaillierte Veröffentlichung der 
Ergebnisse der vergangenen und lau- 
fenden Biometrie-Tests an Bahnhöfen, 
um eine wissenschaftliche Bewertung 
der Ergebnisse und eine öffentliche Dis- 
kussion über die Erkennungssysteme zu 
ermöglichen. 


Das Bündnis „Gesichtserkennung 
stoppen“ besteht aus den zivilgesell- 
schaftlichen Organisationen Digitale 
Freiheit, Chaos Computer Club, Digitale 
Gesellschaft, Forum InformatikerInnen 
für Frieden und gesellschaftliche Ver- 
antwortung sowie Digitalcourage. 

https://www.gesichtserkennung- 
stoppen.de 


Pressemitteilung des Forums InformatikerInnen für Frieden und gesellschaftliche 
Verantwortung (FIfF) e. V. vom 03.12.2019 


Digitalisierung an Schulen - so nicht! 


FIfF kritisiert Digitalpakt mit Windows 10 und Office 365 


Der Digitalpakt für Schulen wurde im 
Mai 2019 für ganz Deutschland - trotz 
seines Eingriffs in die Föderalisierung 
- im Rahmen der Strategie für Digita- 
lisierung durch die Bundesregierung 
verabschiedet. Der Bund stellt hierfür 
über einen Zeitraum von fünf Jahren 
insgesamt fünf Milliarden Euro zur Ver- 
fügung, davon in dieser Legislaturperi- 
ode 3,5 Milliarden Euro. 

Aufgrund des Charakters der Bundes- 
mittel als Finanzhilfen bringen die kom- 
munalen und privaten Schulträger bzw. 
Länder zusätzlich einen finanziellen 
Eigenanteil ein. Zusammengenommen 
stehen dann insgesamt mindestens 5,55 
Milliarden Euro bereit. Rein rechnerisch 
bedeutet dies für jede der ca. 40.000 
Schulen in Deutschland im Durch- 
schnitt einen Betrag von 137.000 Euro 
oder umgerechnet auf die derzeit ca. 
11 Millionen Schülerinnen und Schüler 
eine Summe von 500 Euro pro Schülerin 
dem Finanzierungszeitraum. 

Den Verantwortlichen, somit Schul- 
trägern oder Schulen, steht es zunächst 
frei, wofür konkret sie diese Gelder zur 
Modernisierung der IT-Infrastruktur 
einsetzen. Bereits im laufenden Schul- 
jahr 2019/2020 sollen diese Gelder 
abgerufen werden, um z. B. Tablets zu 
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kaufen. Zum funktionstüchtigen Ein- 
satz solcher Tablets ist oftmals noch ein 
schulinternes WLAN zu implementie- 
ren. Mit diesen Anschaffungen und dem 
dauerhaften Betrieb solcher Elemente 
einer IT-Infrastruktur sind die Mittel 
pro Schüler verbraucht. Eine Hard- 
ware ohne Software ist untauglich. Als 
Software-Lösung sollen Verträge mit Mi- 
crosoft geschlossen werden. Den meis- 
ten Schulträgern oder Schulen wird eine 
Lizenz von Office 365 Education unter 
A1 angeboten, das „Rundum-Wohlfühl- 
paket”, welches mit dem genehmigten 
Digitalpakt bzw. realisierbaren Kosten 
für Schulen noch betrieben werden 
könnte. 

Umfassendere Lizenzen, wie A3 oder 
gar A5, mit denen Verantwortliche Soft- 
ware-Dienste konfigurieren könnten, 
sind jedoch aus Kostengründen wohl 
kaum vermittelbar. Das FIfF kritisiert 
diese Lizenz-Politik und fordert, die 
datenschutzkonforme Verarbeitung der 
Daten von Schülerinnen und Schülern, 
die zumeist minderjährig sind. Warum 
wird hier nicht eine äquivalente Open- 
Source-Software-Lösung eingesetzt, 
wie sie z. B. von der Open Business Al- 
liance angeboten wird. Mit solchen Lö- 
sungen könnten deutsche Schulen und 
Institutionen die Kontrolle über ihre 
Daten behalten, datenschutzkonforme 
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Implementierungen leichter umsetzen 
und transparent die Datenschutzbe- 
stimmungen sicherstellen. Letzteres ist 
jedoch bei der im Rahmen der oben er- 
wähnten Finanzierung verfügbaren Lö- 
sung mit Microsoft 365 unter Al kaum 
bis garnicht zu garantieren. Mindestens 
sind spezielle Regelungen in der Daten- 
schutzgrundverordnung (DSGVO) anzu- 
wenden, die aufbauend auf Art.5,6 und 
7 DSGVO in Art. 8 DSGVO konkretisiert 
sind. 

Das FIfF fordert Aufklärung, welche 
Interessen Microsoft verfolgt, denn die 
Deutsche Telekom AG hat die eigene 
deutsche Microsoft Cloud zum 31. Au- 
gust 2019 eingestellt. Das Treuhänder- 
modell für Microsoft bei T-Systems ist 
damit ausgelaufen. Microsoft wird ab 
14. Januar 2020 für die Betriebssysteme 
auf den Servern 2008 und 2008 R2 den 
Support einstellen und die auf ihnen 
laufende Software statt dessen in ihre 
Cloud Azure migrieren, und damit auch 
alle Daten in Azure in den USA stellen. 
Danach wird keine Kontrolle von Seiten 
deutscher Institutionen mehr möglich 
sein, und es besteht die Gefahr, dass 
Inhalts- und Verbindungsdaten ohne 
Wissen oder Genehmigung Betroffener 
- auch an Schulen - weiter gesammelt 
und per Gesetz an die NSA weitergege- 
ben werden können. Solches hat Mi- 


crosoft in anderen Zusammenhängen 
bereits getan. 

Wie gefährlich die - schließlich le- 
benslang mögliche - Speicherung und 
Nutzung von Daten, Bildern, Medien- 
und App-Nutzung und alle Arten von 
Kommunikation für unsere Kinder ist, 
ist inzwischen hinlänglich bekannt ge- 
worden. Aber die Interessen und fun- 
damentalen Rechte und Freiheiten von 
Kindern müssen vor allem auch an Schu- 
len garantiert werden: Wenn ein hohes 
Risiko durch die Anwendung bzw. Um- 
setzung von Aufgaben im hoheitlichen 
Bereich durch IT-gestützte Prozesse in 
einer komplexen IT-Landschaft voraus- 
gesetzt wird (die insbesondere nicht als 
IT-Landschaft vor Ort beim Schulträger 
oder in der Schule betrieben wird), ist 
eine Datenschutz-Folgenabschätzung 
entsprechend Art. 35 DSGVO durchzu- 
führen. Mit einer solchen Datenschutz- 
Folgenabschätzung geht folglich ein- 
her, dass für Kinder bzw. Schulen tech- 
nisch-organisatorischa Maßnahmen 
höheren Anforderungen auch bzgl. der 
IT-Sicherheit genügen müssen. Ver- 
traulichkeit und Integrität sind ebenso 
höher zu bewerten (Art. 25 und Art. 32 
DSGVO). Zur Umsetzung im Besonderen 
auch dieser datenschutzrechtlichen An- 
forderungen muss verlangt werden, dass 
sichere Verschlüsselungen für Transport 
und Inhalt zu gewährleisten wären. 

Das FIfF ruft dazu auf, Einspruch gegen 
die Regelungen des Digitalpakts einzule- 
gen. Einsprüche gegen die derzeit be- 
stehenden Verträge im Digitalpakt sind 
sachlich wie zeitlich höchst dringlich, 
da es Schulen jederzeit möglich ist, sich 
aus dem Digitalpakt zu bedienen und es 
bereits einzelne Schulen gibt, die dies 
getan haben. Was passiert, wenn ein sol- 
cher Digitalpakt und damit verbundene 
Nutzung von Software für Hochschulen 
geschlossen würde? Ähnliche Implemen- 
tierungen planen Länder jain den öffent- 
lichen Verwaltungen, Kommunen und 
Städten, die ggf. auf Microsoft-Enterpri- 
se-Lizenzen basieren sollen. 
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Pressemitteilung des Arbeitskreises Vorratsdatenspeicherung vom 07.12.2019 


Internet- und Telefonanbieter speichern Aufenthaltsort 
und Internetkennungen tagelang auf Vorrat 


Obwohl Gerichte die umstrittene ver- 
dachtslose Vorratsdatenspeicherung 
ausgesetzt haben, sammeln deutsche 
Telekommunikationsanbieter trotzdem 
von jedem Kunden Informationen über 
ihre Kontakte und Bewegungen, die 
nicht zur Abrechnung nötig sind. Dies 
ergibt sich aus einer jetzt, aufgrund 
der Nachfrage des Arbeitskreises Vor- 
ratsdatenspeicherung, veröffentlichten 
Erhebung der Bundesnetzagentur. Die 
Daten werden auf Anforderung an Straf- 
verfolger und Abmahnkanzleien weiter 
gegeben. 

Konkret wird der Aufenthaltsort von 
Handynutzern (Funkzelle) zu Beginn 
einer Verbindung, die weltweit einma- 
lige Kennung mobiler Endgeräte (IMEI) 
und die Internetkennung (IP-Adresse) 
eine Woche lang gespeichert, ohne dass 
dies zur Abrechnung nötig ist. Die im 
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Arbeitskreis Vorratsdatenspeicherung 
zusammen geschlossenen Bürgerrecht- 
ler, Datenschützer und Internetnutzer 
warnen vor den Konsequenzen dieser 
„freiwilligen Vorratsdatenspeicherung”: 

„Dass Mobilfunkanbieter bei jeder 
Verbindung den Aufenthaltsort festhal- 
ten, ermöglicht Behörden massenhafte 
Funkzellenabfragen und kann Unschul- 
dige in Verdacht bringen, beispielsweise 
nach der Teilnahme an einer Demonst- 
ration”, erklärt Uli Breuer vom Arbeits- 
kreis Vorratsdatenspeicherung. „Zu 
jeder Internetnutzung die IP-Adresse 
zu speichern ermöglicht Abmahnanwäl- 
ten, Verbraucher tausendfach wegen 
angeblicher Urheberrechtsverletzungen 
im Internet abzukassieren, die sie oft 
nicht begangen haben.” 

Der Arbeitskreis Vorratsdatenspei- 
cherung verlangt von den Unterneh- 


men, ihre „freiwillige Vorratsdatenspei- 
cherung” zu stoppen und die Zahl der 
Auskünfte über ihre Kunden zu veröf- 
fentlichen. Der Arbeitskreis Vorratsda- 
tenspeicherung warnt außerdem, die 
geplante ePrivacy-Verordnung der EU 
drohe die „freiwillige Vorratsdatenspei- 
cherung”“ durch Telekommunikations- 
anbieter massiv auszuweiten, und ver- 
langt ein klares Verbot allgemeiner und 
unterschiedsloser Vorratsdatenspeiche- 


rungen. 
Aus Sicht der im Arbeitskreis Vor- 
ratsdatenspeicherung zusammenge- 


schlossenen Datenschützer, Bürger- 
rechtler und Internetnutzer ist eine 
verdachtsunabhängige und wahllose 
Vorratsspeicherung von Telekommu- 
nikationsdaten für viele Bereiche der 
Gesellschaft höchst schädlich: Sie be- 
einträchtigt vertrauliche Kommunika- 
tion in Bereichen, in denen Menschen 
auf Vertraulichkeit angewiesen sind 
(z.B. Kontakte zu Psychotherapeuten, 
Ärzten, Rechtsanwälten, Betriebsräten, 
Eheberatern, Kinderwunschzentren, 
Drogenmissbrauchsberatern und sons- 
tigen Beratungsstellen) und gefährdet 
damit die körperliche und psychische 
Gesundheit von Menschen, die Hilfe 
benötigen, aber auch der Menschen 
aus ihrem Umfeld. Wenn Journalisten 
Informationen elektronisch nur noch 
über rückverfolgbare Kanäle entgegen 
nehmen können, gefährdet dies die 
Pressefreiheit und beeinträchtigt damit 
elementare Funktionsbedingungen ei- 
ner freiheitlichen demokratischen Ge- 
sellschaft. Die verdachtsunabhängige 
und wahllose Vorratsdatenspeicherung 
schafft Risiken des Missbrauchs und des 
Verlusts vertraulicher Informationen 
über unsere persönlichen Kontakte, Be- 
wegungen und Interessen. Telekommu- 
nikationsdaten sind außerdem beson- 
ders anfällig dafür, von Geheimdiensten 
ausgespäht zu werden und Unschuldige 
ungerechtfertigt strafrechtlichen Er- 
mittlungen auszusetzen. 
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Ungenügende Berechti- 
gungsprüfung bei der Tele- 
matik-Infrastruktur 


Am 01.01.2021 soll die elektroni- 
sche Patientenakte (ePA) eingeführt 
werden. In dieser freiwilligen patien- 
tengeführten Akte speichern Ärzte auf 
Wunsch der Versicherten Befunde und 
Diagnosen unter Nachweis ihrer ärztli- 
chen Identität. Der Patient soll Daten 
identifiziert durch seine elektronische 
Gesundheitskarte (eGK) im Rahmen 
der Telematik-Infrastruktur anderen 
freigeben oder sperren können. Mit 
einer Health Professional Card oder 
einer Institutionenkarte (SMC-B) soll 
der Nachweis geführt werden, dass 
Leistungserbringer, also ein Arzt, eine 
Arztpraxis, eine Klinik oder ein Phy- 
siotherapeut, über einen Konnektor 
berechtigt auf die Daten zugreift. 

Auf dem 36. Chaos Communication 
Congress (36C3) Ende 2019 wurde of- 
fengelegt, dass das von der Anlage 
her sinnvolle und ausgefeilte Identi- 
tätskonzept in der realen Umsetzung 
schwere Lücken hat. Die notwendigen 
Karten für die Rollen Patient, Arzt 
und Institution können mit einfachen 
Tricks beschafft werden. Und auch der 
Konnektor kann über einen Versender 
bezogen werden, ohne dass er von ei- 
ner berechtigten Institution bestellt 
wird. Dabei muss überhaupt nicht groß 
gehackt werden. Es ist gelungen, sich 
Zugangsberechtigungen für das Tele- 
matik-Netzwerk zu verschaffen. Es war 
einfach, sich die notwendigen Karten 
zu besorgen, mit denen das Netzwerk 
arbeitet. 

Das fängt bei der eGK der Versicher- 
ten an, wie viele es bereits erlebt ha- 
ben. Man ruft die Krankenkasse an, 
teilt den Verlust der Karte mit und 
nennt auch gleich noch die neue Ad- 
resse, zu der man gerade umgezogen 
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ist. Ohne weitere Prüfung erhält so 
eine nicht befugte Person eine eGK als 
angeblich ausreichenden Identifikati- 
onsnachweis. Schon vier Jahre zuvor 
war es dem IT-Experten Andr& Zilch 
gelungen, jetzt klappte esimmernoch. 
Er ließ die Adresse eines befreundeten 
Versicherten per Mail bei der AOK Hes- 
sen ändern, im elektronischen Anhang 
ein Schreiben mit ausgedachter Un- 
terschrift, und erhielt eine neue Kar- 
te. Die AOK Hessen erklärte, dass dies 
nur „unter Aufbringung krimineller 
Energie möglich” sei, von „einem mü- 
helosen unberechtigten Zugriff kann 
deshalb nicht die Rede sein“. 

Das Vorgehen wiederholten die Ha- 
cker bei der Online-Bestellung des 
Institutionen-Ausweises einer Arzt- 
praxis. Sie nahmen die notwendigen 
Daten von einem ärztlichen Rezept, er- 
gänzten sie um das Geburtsdatum des 
Arztes aus dem Gewerberegister und 
unterzeichneten den ausgedruckten 
Antrag mit einem Gekrakel, das eine 
„Unterschrift” des Arztes simulierte. 
Dazu wurde noch eine neue Lieferad- 
resse genannt und das Bestellfax abge- 
schickt. Wenig später war die Institu- 
tionenkarte da und kurz danach kam 
der PIN-Brief. Der Ausweis kam per 
Einschreiben, die Geheimzahlen mit 
normaler Post. Die zuständige Kassen- 
ärztliche Vereinigung Nord räumte ein: 
„Jeder Besteller kann die Lieferadresse 
frei wählen. Dies muss nicht die Pra- 
xisanschrift, sondern kann auch eine 
Privatadresse sein.” 

Bei der Bestellung des Arztauswei- 
ses nutzten die Hacker das Bankident- 
Verfahren, um einen Arztausweis für 
Dr. med. Cyber zu bekommen. Hier 
muss ein Bank-Mitarbeiter zwar die 
Identität eines Bestellers prüfen, die 
Lieferadresse wird aber nicht überprüft 
und bestätigt. Mit ein wenig Social En- 
gineering gelang auch dieser Schritt. 
Im Antrag wurde eine Passnummer er- 
fragt. Da der Arzt, für den das Verfah- 
ren durchgeführt wurde, inzwischen 


einen neuen Reisepass hatte, wurde 
diese Nummer eingegeben, statt der 
hinterlegten, also eine Nummer, die 
weder die Bank noch die Ärztekammer 
kennen konnte. Offenbar erfolgte also 
kein Nummernabgleich. Schließlich 
wurde noch ein Konnektor online ohne 
weitere Prüfung bestellt, der mit einer 
besonderen „sicheren Lieferkette” an 
eine nicht überprüfte Adresse geliefert 
wurde. 

Im Antragsportal für Arztausweise 
von Medesign fanden die Tester der 
Identifizierungsverfahren eine ganze 
Sammlung bereits ausgefüllter An- 
träge, die für jeden frei einzusehen 
waren. In dem Datenleck fanden sich 
Namen, Adressen, Kontoverbindungen 
und Ausweisnummern sowie alles, was 
sonst noch nötig ist, um einen Arzt- 
ausweis zu beantragen. Allein an ei- 
nem Tag im Oktober 2019 waren dort 
Daten von 168 Ärzten zu finden, die 
offenbar in den beiden Wochen davor 
ihren Antrag gestellt hatten. Gemäß 
IT-Experte Martin Tschirsich spricht 
einiges dafür, dass auch in der Zeit da- 
vor die Anträge der jeweils letzten bei- 
den Wochen sichtbar waren. Nachdem 
der Chaos Computer Club (CCC) die Lü- 
cke der Firma gemeldet hatte, reagier- 
te die Firma prompt, so CCC-Sprecher 
Linus Neumann: „Das war zwar eine 
katastrophale Sicherheitslücke, aber 
die Reaktion darauf war vorbildlich. 
Die haben sofort geantwortet und das 
Leck schnellstmöglich geschlossen.” 
Medesign kam nach eigenen Angaben 
auch seinen Meldepflichten nach. Die 
Antragsdaten seien regelmäßig im Ab- 
stand von vier Tagen gelöscht worden. 
Medesign schrieb, man habe das Iden- 
tifizierungsverfahren Bankident sofort 
außer Betrieb genommen: „Betroffe- 
ne Karten werden wir vorsichtshalber 
sperren.” Die aufgeführten Schwach- 
stellen würden nun im Detail geprüft. 
Die gematik erklärte die Sicherheits- 
mängel als „nicht hinnehmbar”. Da 
aber noch keine Behandlungsdaten 
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gespeichert würden, bestehe derzeit 
noch keine Gefahr für die Sicherheit 
der Patientendaten. Man begrüße die 
Aufklärung und wolle die Sicherheit 
gemeinsam mit dem CCC optimieren. 

Rund 140.000 Praxen müssen in 
Deutschland an die Telematik-Infra- 
struktur (TI) angeschlossen werden, 
bei mindestens 70% ist das bereits 
passiert. Hinzu kommen Apotheken, 
Krankenhäuser sowie weitere medizi- 
nische Dienstleister. Das System wur- 
de unter Aufsicht des Bundesamts für 
Sicherheit in der Informationstech- 
nik (BSI) entwickelt. Die gematik, 
zuständig für den Aufbau und die Si- 
cherheit der TI, wirbt mit dem Slogan: 
„Wir vernetzen das Gesundheitswe- 
sen. Sicher.” Das Großprojekt sollte 
eigentlich schon längst vollständig in 
Betrieb sein. Anfang 2021 sollen im 
TI die elektronischen Patientenakten 
angelegt werden. Bundesgesundheits- 
minister Jens Spahn hatte Anfang 
2019 angekündigt: „Ich werde bei 
dem Thema Gematik und elektronische 
Patientenakte mehr Geschwindigkeit 
reinbringen.” 

Eigentlich seien die Grundgedan- 
ken richtig, befanden Martin Tschir- 
sich, der Arzt Christian Brodowski und 
Andre Zilch, Experte für ID-Manage- 
mentsysteme bei ihrem Vortrag auf 
dem 36C3. Positiv sei festzuhalten, so 
Tschirsich, dass die gematik basierend 
auf den gesetzlichen Rahmenbedin- 
gungen vieles richtig macht. Es sei 
auch richtig, dass staatliche Stellen, 
Trustcenter und Ärztekammern die 
Basis, den Zugang zur telematischen 
Infrastruktur des Gesundheitswesens 
kontrollieren. 

Doch bei der Identitätsprüfung sei 
bisher viel zu schlampig vorgegan- 
gen worden. Eine echte ID-Prüfung 
der Teilnehmer findet nicht statt, was 
Ausdruck einer organisierten Verant- 
wortungslosigkeit sei: „Die rechtlich 
verbindliche Überführung real exis- 
tierender Teilnehmer in die digitale 
Welt ist die zentrale Aufgabe”. Zur 
Schadensbegrenzung führten die drei 
Vortragenden aus, dass unberechtigte 
bzw. falsch ausgestellte Zertifikate zu- 
rückgenommen werden müssen. Dann 
sollte ein zuverlässiger Kartenbean- 
tragungs- und Auslieferungsservice 
installiert werden und eine unabhän- 
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gige zentrale Prüfstelle für die Infor- 
mationssicherheit der telematischen 
Infrastruktur eingerichtet werden, die 
diese Prozesse unter die Lupe nimmt. 

Nach Ansicht von Tschirsich, Bro- 
dowski und Zilch hat sich die Untaug- 
lichkeit der Verfahren Kammerldent 
und Bankldent zur Identitätsfeststel- 
lung eines Arztes erwiesen, einzig 
das PostIdent-Verfahren solle übrig 
bleiben. Es müsse künftig strenge- 
re Restriktionen für die Auslieferung 
geben, was zwangsläufig den Komfort 
einschränkt und den Aufwand für die 
Beschaffung erhöht. Bisher war vor- 
gesehen, die 55.000 Arztpraxen ohne 
TI-Anschluss mit Honorarabzügen von 
1% zu bestrafen. Ob diese Abzüge aus- 
gesetzt werden, solange sich neue Ärz- 
te und Praxen mangels Zugangskarten 
nicht mit der TI verbinden können, 
wurde von der Kassenärztliche Bun- 
desvereinigung (KBV) nicht beantwor- 
tet. Die Entscheidung hierzu liegt bei 
den einzelnen Kassenärztlichen Verei- 
nigungen. 

Aus dem Bundesgesundheitsminis- 
terium hieß es, die gematik werde im 
Januar 2020 mit den Herausgebern 
der Zugangskarten, also der KBV, der 
Bundesärztekammer und dem Spitzen- 
verband der Krankenkassen „festle- 
gen, wie die Prozesse sicherer gestal- 
tet werden können”. Die gematik will 
zudem überprüfen lassen, ob bereits 
Identitätsdiebstahl erfolgt ist. Es gebe 
aber „keinen Grund“, den Zeitplan zum 
Aufbau des Datennetzes infrage zu 
stellen. Das Ministerium erklärte, es 
sei „gut“, dass die Hacker die Lücken 
aufgedeckt hätten. So bleibe Zeit zu 
reagieren. Tschirsich reagierte, er sei 
froh über diese Reaktion: „Das ist der 
wichtigste Weg zur Besserung“. Aller- 
dings sieht er bei der TI das grundsätz- 
liche Problem, dass „die umgesetzten 
Prozesse nicht gründlich genug geprüft 
werden”. Zuvor waren auch die heu- 
tigen Verfahren als sicher eingestuft 
worden (Horchert/Klofta, Der Karten- 
Trick, Der Spiegel Nr. 1/28.12.2019, 
74 f.; Borchers, 36C3: Unsichere Pa- 
tientendaten - die Telematik-Infra- 
struktur des Gesundheitswesens hat 
ein Identitätsproblem, www.heise.de 
27.12.2019, Kurzlink: https://heise. 
de/-4624092; Hoppenstedt/Ludwig, 
Auch der Käseladen galt als Praxis, SZ 


31.12.2019/01.01.2020 S. 7; Maus, 
Hinweise auf mögliche Verwundbar- 
keiten der Medizin-Telematik, www. 
heise.de 17.01.2020). 


Bundesweit 


Weitere Hinweise auf Ver- 
wundbarkeit der Telematik- 
Infrastruktur 


In Folge der Identifizierungsproble- 
me für Ärzten, Praxen und Patienten 
bei der Kartenausgabe für die Tele- 
matik-Infrastruktur (TI) haben sich 
weitere Sicherheitslücken gezeigt. Es 
wurden im Auftrag des Heise-Verlags 
bei Ärzten an deren Konnektoren 
nichtinvasive und nichtdestruktive 
Analysen durchgeführt. 


-Konnektor-Probleme 


Die Analysen beschäftigten sich 
ausführlich mit dem Modell von T- 
Systems, das neben dem KoCoBox- 
Konnektor von CGM in Praxen am 
weitesten verbreitet ist. Konnektoren 
verbinden Arztpraxen per VPN mit der 
TI und bilden damit das Herzstück für 
deren Sicherheitsarchitektur. 

In der TI sollen künftig mit Einfüh- 
rung der elektronischen Patientenakte 
(ePA) ab Anfang 2021 nicht nur die Ge- 
sundheitsdaten von 73 Millionen Pati- 
enten in Deutschland verwaltet und 
ausgetauscht werden. Die TI soll darü- 
ber hinaus auch zur sicheren Kommu- 
nikation der Praxen und Kliniken un- 
tereinander dienen. Bislang predigen 
gematik und Gesundheitsministerium, 
dass die TI mit ihren Konnektoren und 
Kartenterminals „optimal sicher” sei. 
Probleme entstünden allein durch 
Nachlässigkeiten von Ärzten und de- 
ren IT-Dienstleistern, wenn sie veral- 
tete Software nutzten und das LAN der 
Praxis nicht richtig absicherten. 

Diese „Nachlässigkeiten” erweisen 
sich jedoch eher als die Regel denn 
als die Ausnahme. So wurden beispiel- 
weise die von der gematik favorisierte 
serielle Installationen des Konnektors 
nur in 10% der Praxen umgesetzt. In 
dieser Konfiguration ist der Konnek- 
tor die einzige Verbindung der Praxis 
zur Außenwelt: Er baut nicht nur das 
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VPN zur Telematik-Infrastruktur auf, 
sondern dient gleichzeitig als Firewall 
für das Praxis-LAN Richtung Internet. 
Von den übrigen Praxen mit paralleler 
Konfiguration, bei der die Praxis ihre 
Internet-Verbindung in Alleinregie 
absichern muss, befinden sich gemäß 
Medienberichten rund ein Drittel in 
einem desolaten Sicherheitszustand. 

Gemäß dem Bundesamt für Sicher- 
heit in der Informationstechnik (BSI) 
„muss nach dem Stand der Technik 
davon ausgegangen werden, dass 
Leistungserbringer eine Kompromit- 
tierung eines ihrer IT-Systeme im LAN 
nicht sicher verhindern bzw. nicht in 
jedem Fall frühzeitig erkennen kön- 
nen.” (Konnektor-Schutzprofil BSI- 
CC-PP-0047-2015-MA-01, Abschnitt 
7.6.2). Dessen ungeachtet setzt das 
Schutzprofil ein unkompromittiertes 
Praxis-LAN für die Sicherheit der TI 
voraus. Hier liegt ein offenkundiger 
Widerspruch und ein fundamentaler 
Design-Fehler in der Sicherheitsarchi- 
tektur: Eine einzige kompromittierte 
Praxis stellt die Sicherheit vieler ePAs 
in Frage. Das angeblich „geschlosse- 
ne medizinische Netz“, welches ein 
„Höchstmaß an Schutz” bieten soll, ist 
dann eben nicht mehr geschlossen. 

Wird ein Konnektor oder ein anderer 
Teil der TI kompromittiert, dann las- 
sen sich womöglich nicht nur Gesund- 
heitsdaten abgreifen und manipulie- 
ren. Angreifer könnten über in der ePA 
abgelegte Dokumente (darunter PDFs) 
auch Viren und Trojaner einspielen. Es 
bestünde dann Gefahr, dass sich Emo- 
tet-Angriffe, wie sie jüngst Kliniken in 
Fürth und Hannover lahmlegten, über 
die TI auf andere Praxen und Kran- 
kenhäuser ausbreiten - und das auf 
höchstem Sicherheitsniveau. 

Selbst bei einer seriellen Konnektor- 
Konfiguration scheint nicht alles si- 
cher zu sein: Der Konnektor fungiert 
dann nämlich gleichzeitig als Firewall 
für das Praxis-LAN und ist somit an- 
griffsexponiert und sicherheitskri- 
tisch. Diesem Anspruch wird der „Me- 
dical Access Port” genannte Konnek- 
tor von T-Systems womöglich nicht 
gerecht. Der Konnektor wird über ein 
Web-Frontend konfiguriert. Der Brow- 
ser des Admins ruft bei der ersten Ver- 
bindung ein Zertifikat vom Konnektor 
ab, das für eine verschlüsselte Ver- 
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bindung (HTTPS) benötigt wird. Beim 
T-Systems-Konnektor produziert die 
Echtheitsprüfung im Browser jedoch 
einen Zertifikatsfehler. In allen unter- 
suchten Praxen hatten die IT-Dienst- 
leister (DvOs) den Ärzten geraten, die 
Warnung „einfach wegzuklicken“. 

Damit wird das Konnektor-Zertifikat 
ad absurdum geführt. Man-in-the- 
Middle-Angriffe werden ermöglicht, 
bei denen das Admin-Passwort abge- 
griffen werden kann. Angreifer in Ge- 
stalt von Patienten, Reinigungsperso- 
nal oder Lieferanten bräuchten dazu 
lediglich ein Gerät für unter 100 Euro 
im Praxis-LAN zu platzieren und könn- 
ten so Kontrolle über den Konnektor 
erlangen. Dagegen kann sich eine 
Arztpraxis mit typischer IT-Ausstat- 
tung und -Personal kaum schützen. 

Das Konnektor-System basiertin gro- 
ßem Umfang auf Open-Source-Kompo- 
nenten und würdigt dies entsprechend 
der Lizenzbestimmungen durch de- 
ren Benennung. Die auf der Admin- 
Oberfläche des Konnektors einsehbare 
Liste erstreckt sich über 77 Einträge. 
Auf sicherheitskritischen Systemen 
sollten niemals mehr Komponenten in- 
stalliert sein als unbedingt nötig, weil 
sie die Angriffsfläche unnötig vergrö- 
ßern. Auf dem Konnektor ist jedoch 
unter anderem ein WPA-Supplicant 
installiert, der lediglich für WLANs 
relevant wäre. Ebenso findet sich die 
E-Mail-Library mimetic, obwohl der 
Konnektor - zumindest offiziell - gar 
keine Mails verschickt. Bedenklich ist 
das hohe Alter einiger Komponenten: 
Eine xqc-Version (wahrscheinlich eine 
C-Schnittstelle zur XML-Query-Lan- 
guage) stammt offenbar vom Mai 2013, 
jQuery (eine populäre Bibliothek für 
JavaScript) vom Mai 2014. 

Zudem gibt es eine Reihe von Pake- 
ten aus dem Node.js- beziehungsweise 
NPM-Universum auf dem sicherheits- 
kritischen Gerät. Die Sicherheitshisto- 
rie von NPM ist ziemlich unrühmlich. 
Schließlich ist sogar der Paketmanager 
opkg dabei. Er dient dazu, Software- 
Pakete auf dem neuesten Stand zu hal- 
ten. Auf sicherheitskritischen Geräten 
wie einem Konnektor dürfen aber auf 
gar keinen Fall irgendwelche Updates 
aus ungesicherten Quellen aufgespielt 
werden. Jedes einzelne Update muss 
zuvor aufwendig geprüft und zertifi- 


ziert werden. Deshalb erscheinen offi- 
zielle Firmware-Updates des Konnek- 
tors auch nur einmal im Jahr. Denn die 
nötige Zertifizierung nach dem inter- 
nationalen Common-Criteria-Standard 
beschäftigt mehrere Sicherheitsprüfer 
über Wochen und kostet sechsstellige 
Beträge. Dynamische Updates wären 
zertifizierungswidrig. 

Um einzuschätzen, wie verwundbar 
die auf dem Konnektor eingesetzte Soft- 
ware ist, wurden vom Heise-Autor zu 
allen Komponenten die bekannten Ver- 
wundbarkeiten herausgesucht. Diese 
werden in der CVE-Datenbank (Common 
Vulnerability Enumeration) gesammelt. 
Theoretisch müssten in jedem CVE-Ein- 
trag auch die betroffenen CPE (Common 
Product Enumeration) aufgeführt sein. 
Praktisch fehlen die CPEstteils ganz oder 
es wird nur im Freitext erwähnt, dass die 
Verwundbarkeit auch in allen früheren 
Versionen besteht - was den Aufwand 
erheblich vergrößert. 

Die im Konnektor von T-Systems ein- 
gesetzte Software (Firmware 1.4.13) 
lieferte bei einem Abgleich mit der 
CVEsearch-Datenbank vom 31.12.2019 
sage und schreibe 3335 Treffer. Be- 
schränkt man die Suche auf die exak- 
ten CPE-Einträge, passen immer noch 
1043 Einträge, auf die sich die weitere 
Analyse konzentriert. Die Brisanz der 
Verwundbarkeiten wird nach dem CVSS 
(Common Vulnerability Scoring Sys- 
tem) eingestuft. Die Skala reicht von 
0 bis 10: Low (unter 4), Medium (4 bis 
unter 7), High (7 bis unter 9) und Cri- 
tical (9 bis 10). Soweit Security-Patch- 
Backports plausibel zu vermuten wa- 
ren - etwa beim Kernel -, wurden die 
entsprechenden CVEs ignoriert. 

Filtert man noch alle Low-Einstu- 
fungen heraus (worüber man streiten 
kann), so verbleiben im T-Systems- 
Konnektor (Firmware 1.4.13) Hin- 
weise auf mindestens 402 potenziel- 
le Verwundbarkeiten: 11 kritische, 
141 hochbrisante, 250 mittelbrisante 
(Stand 31.12.2019). 

Nicht viel besser sieht es nach dem 
Firmware-Update aus, das T-Systems 
während des Untersuchungszeitraums 
am 28. November 2019 veröffentlichte. 
Die neue Firmware-Version 1.5.3 hat- 
te am 31. Dezember immer noch 291 
Hinweise auf klärungsbedürftige Ver- 
wundbarkeiten: 7 kritische, 117 hoch- 
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brisante und 167 mittelschwere. 
Neben der bloßen Anzahl der Ver- 
wundbarkeiten alarmiert auch die 
Schwere einiger besonders kritischer 
Sicherheitslücken im CVE-Abgleich mit 
den Komponenten des Konnektors: Das 
fängt mit Anfälligkeiten für Denial-of- 
Service-Attacken an (CVE-2018-5391, 
CVE-2019-11477 und CVE-2018-5388), 
geht über Man-In-the-Middle-Atta- 
cken bei der Kernfunktion des VPN, 
weil sich die Authentifikation mit 
RSA bei IKEv2 unterlaufen lässt (CVE- 
2018-16151 und CVE-2018-16152), 
bis hin zu zahlreichen möglichen Puf- 
ferüberläufen, die nicht selten darin 
münden, dass ein Angreifer beliebigen 
Code ausführen kann (zum Beispiel 
CVE-2018-17540, CVE-2016-2108, 
CVE-2015-0292). Allein die in der Lis- 
te auftauchende sicherheitskritische, 
uralte OpenSSL-Version 0.9.8w besitzt 
eine kritische und fünf hochbrisante 
Verwundbarkeiten. 


- Kartenterminals 


Neben dem Konnektor kommentiert 
Heise auch das Kartenterminal si- 
cherheitskritisch. Auf dessen Gehäuse 
kleben diverse Sicherheitssiegel des 
BSI, die ein unbemerktes Öffnen ver- 
hindern sollen. Ein solches Terminal 
ist über das Praxis-LAN mit dem Kon- 
nektor verbunden und wacht über die 
Verwendung der digitalen Patienten- 
und Arzt-Identitäten sowie über den 
Zugriff auf Patientendaten. Mit über 
hundert mittleren bis hohen sowie 
weiteren kritischen CVE-Einträgen, 
die sich seit der letzten Aktualisierung 
eingeschlichen haben, ist es zweifel- 
haft, dass das Kartenterminal ein „eu- 
ropaweit einzigartiges Sicherheitsni- 
veau” erreicht, von dem Gesundheits- 
ministerium und gematik schwärmen. 

Nicht jede in der CVE-Datenbank 
aufgeführte Verwundbarkeit führt zu 
einem tatsächlich durchführbaren An- 
griff. Doch für jede Verwundbarkeit, 
die zum Zeitpunkt der Zertifizierung 
bekannt ist, müsste mindestens do- 
kumentiert sein, warum sie die Si- 
cherheit des Systems nicht schwächen 
kann. Dazu dient die in der Zertifizie- 
rung vorgesehene AVA_VAN (Activity 
Vulnerability Assessment - Vulnera- 
bility ANalysis). Für die aufgelisteten 
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CVE-Einträge des Konnektors und Kar- 
tenterminals existieren jedoch keine 
öffentlichen Dokumentationen, die 
deren Unbedenklichkeit nachweisen. 


- Die Welt von „Common Criteria” 


Das in den 90er-Jahren entstandene 
Zertifizierungssystem „Common Crite- 
ria” (CC) - nach dem Konnektoren und 
Kartenterminals zertifiziert werden 
- ging noch davon aus, dass Software 
entweder korrekt oder aber defekt ist. 
Inzwischen ist klar, dass eine Kompo- 
nente zum Zeitpunkt der Zertifizierung 
als sicher bewertet wird, weilnoch nie- 
mand einen Angriffsweg entdeckt hat. 
Wird ein solcher Weg später publik, ist 
die Komponente fortan nicht mehr si- 
cher. Im Fall eines Konnektors müsste 
er so lange abgeschaltet werden, bis 
die Unbedenklichkeit bewiesen oder 
die anfällige Komponente erneuert 
und der Angriffsweg versperrt ist. 
Dann könnte der Konnektor wieder 
weiterlaufen - bis zur Entdeckung ei- 
ner neuen Verwundbarkeit. 

Das Problem ist die statische Vorstel- 
lung von Programmcode in der CC-Welt, 
seiner Korrektheit und Sicherheit. Dies 
sieht man an den CC-Maintenance-Re- 
ports: Das Gerät wird als unverändert 
betrachtet, weswegen keine erneute 
Zertifizierung notwendig ist. Das Gerät 
mag unverändert sein, aber das Wissen 
über seine Sicherheitseigenschaften 
hat sich teils dramatisch verändert. Tat- 
sächlich ist der Einsatz von Open-Sour- 
ce-Software eine gute Idee, wenn durch 
koordinierte Sichtungen der Quellen 
Verwundbarkeiten systematisch besei- 
tigt werden. Jede CVE istja eine bekann- 
te Schwachstelle, die meistens wenige 
Tage nach Bekanntwerden durch ein 
Update aus dem Verkehr gezogen wird. 
Von der Qualitätssicherung der CVEs 
kann man jedoch nur profitieren, wenn 
man Updates in hoher Frequenz durch- 
führt, was innerhalb der Common Crite- 
ria kaum sinnvoll möglich ist. 

Die Aussagen gelten nicht nur für 
den T-Systems-Konnektor. Konkurrent 
CGM bedient sich für seine KoCoBox 
MED+ ebenfalls bei Open-Source-Code. 
Der Hersteller listet jedoch lediglich 
die Lizenzen, aber nicht die Kompo- 
nenten auf und verstößt somit zu- 
mindest gegen die GNU General Public 


License. Wenn CGM die verwendeten 
Open-Source-Komponenten nicht an- 
gibt, kann man für die KoCoBox vom 
schlimmsten Fall ausgehen, also allen 
Verwundbarkeiten jeglicher Software 
unter all den angegebenen Lizenzen. 
Ärzte, die den Konnektor von T-Sys- 
tems einsetzen, sollten dessen Firm- 
ware - falls noch nicht geschehen - 
unbedingt von Version 1.4.13 auf die 
Ende November veröffentlichte Version 
1.5.3 updaten. Dadurch können sie 
immerhin die Zahl der möglichen klä- 
rungsbedürftigen Verwundbarkeiten 
von 402 auf 291 senken. Da dies nach 
Ansicht des Heise-Autors nicht gut ge- 
nug ist, empfiehlt er selbst bei einem 
aktualisierten Konnektor Ärzten nur 
eines: abschalten. 


- Schlussfolgerung 


Das sei keine pauschale Warnung 
vor der Digitalisierung der Medizin, 
sondern vor einer ungesicherten Ver- 
netzung durch die TI. Würden Praxen 
und Kliniken alle digitalen Systeme 
mit veralteter Software abschalten, 
stünden Ärzte weitgehend ohne mo- 
derne Diagnostik da. Isoliert oder in 
Inselnetzen erzeugen aber selbst die 
immer noch anzutreffenden Windows- 
XP-Rechner zur Steuerung von Rönt- 
gengeräten kaum Gefahr - aber erheb- 
lichen Nutzen. 

Die Heise-Analyse behandelt nur ei- 
nen kleinen Teil möglicher Probleme 
der Telematik-Infrastruktur: In Bezug 
auf Zertifizierungsniveau oder -ver- 
fahren, Installationsqualität, Manage- 
ment der Authentifikationsmittel oder 
Updates - überall bestünden offene 
Fragen. So ließen sich bislang nicht 
einmal unabhängige Penetrationstests 
durchführen, weil die gematik die 
dazu nötigen Sandbox-Systeme nicht 
zur Verfügung stellt. Gesundheits- 
minister Jens Spahn erklärte: „Ich 
werde bei dem Thema gematik mehr 
Geschwindigkeit reinbringen, Hacker 
hin oder her.” Das enorme Tempo, mit 
dem sein Ministerium den Ausbau der 
TI trotz aller Bedenken vorantreibt, 
ist problematisch (Maus, Hinweise 
auf mögliche Verwundbarkeiten der 
Medizin-Telematik, www.heise.de 
17.01.2020, Kurzlink: https://heise. 
de/-4635791). 
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Bund 


Krankenkassen-Auskunfts- 
tool „Anfrage-Generator” 


Der Verein Patientenrechte und Da- 
tenschutz e.V. hat einen „Anfrage- 
Generator” entwickelt, mit dem man 
„Krankenkassen-Auskunft mit wenigen 
Klicks“ erhalten können soll. Der Verein 
geht davon aus, dass eine Krankenkasse 
mehr kritische Daten über Bürgerinnen 
und Bürger hat als jede andere Institu- 
tion: Krankheiten, Therapien, Einkom- 
men, Arbeitsplätze, Anschriften, so der 
Vorsitzende Bernhard Scheffold: „Nach 
gegenwärtigem Stand haben Kranken- 
kassen einen viel besseren Zugriff auf 
Informationen über Versicherte, als die 
Versicherten selbst.“ Um das zu ändern, 
sollen gesetzlich Versicherte über den 
Anfrage-Generator einfach erfahren 
können, was ihre Krankenkasse über sie 
gespeichert hat. Mit dessen Hilfe kön- 
ne eine rechtskonforme Anfrage an die 
eigene Krankenkasse gestellt werden. 
Er ist unter http://kassenauskunft.de 
erreichbar. Über eine reine Auskunft hi- 
naus (Art. 15 DSGVO) könne damit auch 
die Berichtigung falscher Daten (Art. 16 
DSGVO) sowie die Löschung von Daten 
(Art. 17 DSGVO) verlangt werden. Schef- 
fold erläutert: „Nur wenige Versicherte 
kennen ihre Rechte und die Gesetzge- 
bung ist auf dem Weg, diese Rechte im- 
mer weiter zu beschneiden. Schon jetzt 
werden im Gesundheitsbereich vielfach 
kritische Daten verarbeitet, ohne dass 
die Versicherten im Einzelfall zustim- 
men oder auch nur widersprechen könn- 
ten.“ Der Anfrage-Generator ist Open 
Source, der Quelltext kann im Internet 
überprüft werden (https://github.com/ 
PhilLehmann/gesundheitsdatenbefreier). 
Es handelt sich um ein Wordpress-Plugin 
(„Gesundheitsdatenbefreier“), das auch 
andere Wordpress-Nutzer in ihren Blog 
einbinden können. Scheffold Ende Ja- 
nuar 2020: „Seit es die ersten Berichte 
über den Anfrage-Generator in Online- 
Medien und Zeitungen gab, wurden über 
600 Anfragen bei den Krankenkassen 
damit erstellt. Benutzer haben Mängel 
in unseren Fehlermeldungen gefunden, 
die wir sofort beseitigt haben.” 

Das Entwicklerteam hatte ausdrück- 
lich darum gebeten (Patientenrechte 
und Datenschutz e.V. PM 15.01.2020, 
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Krankenkassen-Auskunft mit wenigen 
Klicks, PM 27.01.2020, Über 600 Daten- 
Abfragen bei Krankenkassen in wenigen 
Tagen, Reges Interesse an Krankenkas- 
sen-Auskunft mit wenigen Klicks). 


Bund 


Umstrittener Gesetzes- 
entwurf gegen Hass- 
kriminalität 


- Herausgabe von Passwörtern 


Sicherheitsbehörden sollen gemäß 
einem Gesetzentwurf des Bundesjus- 
tizministeriums zur Bekämpfung der 
Hasskriminalität im Netz künftig das 
Recht erhalten, Internet-Unternehmen 
wie Google oder Facebook zur Heraus- 
gabe von Passwörtern ihrer Kunden 
zu zwingen. Durch eine Änderung des 
Telemediengesetzes (TMG) soll jeder 
E-Mail-Dienst, jedes soziale Netzwerk 
und jedes Unternehmen, das Dienste 
im Internet betreibt, verpflichtet sein, 
die Passwörter ihrer Kunden auf Ver- 
langen an die Sicherheitsbehörden he- 
rauszugeben. Den Auskunftsanspruch 
gegen das IT-Unternehmen sollen Po- 
lizeibehörden, aber auch Verfassungs- 
schutzämter, der Bundesnachrichten- 
dienst und der Zoll erhalten. 

Das Ministerium betonte, künftig 
müsse ein Richter entscheiden, ob ein 
Passwort angefordert werden dürfe, 
was eine Verschärfung darstelle. Man 
gehe auch nur von wenigen Fällen aus, 
weil Onlinedienste nach europäischem 
Datenschutzrecht ohnehin verpflich- 
tet seien, Passwörter verschlüsselt zu 
speichern: „Dass Staatsanwaltschaften 
Passwörter von Diensten herausverlan- 
gen, wird daher nur in wenigen Fällen 
künftig geboten sein, zum Beispiel 
wenn es um Terrorismus-Straftaten 
geht und es eventuell Möglichkeiten 
gibt, die Passwörter mit sehr hohem 
technischen Aufwand zu entschlüs- 
seln. Eine solche Pflicht für die Pro- 
vider, Passwörter zu entschlüsseln, 
wenn Staatsanwaltschaften sie dazu 
auffordern, gibt es nicht und wird es 
auch künftig nicht geben.” Genügen 
soll aber nach dem Entwurf bereits der 
Verdacht einer geringfügigen Straftat, 
die mit Kommunikationsmitteln verübt 


worden sein soll. Die Unternehmen sol- 
len die Betroffenen nicht informieren 
dürfen, dass sie eine Passwort-Anfrage 
erhalten haben. 

FDP-Fraktionsvize Stephan Thomae 
fragte: „Was ist das für eine verrückte 
Idee aus dem Justizministerium? Wird 
dort davon ausgegangen, dass die Pro- 
vider meine Passwörter besitzen? Plant 
die Regierung entgegen dem Tren- 
nungsgebot die Einführung einer Ge- 
heimpolizei?” SPD-Chefin Saskia Esken 
sieht noch Gesprächsbedarf. Bei der 
Frage, ob unverschlüsselte Passwör- 
ter weitergegeben werden sollten, sei 
man noch in der Debatte. „Das ist tat- 
sächlich ein problematischer Punkt.” 
Es gehe zwar nicht darum, Anbieter zu 
zwingen, Passwörter unverschlüsselt 
zu speichern. „Aber bei manchen An- 
bietern sind sie eben unverschlüsselt 
gespeichert. Das gehört sowieso ver- 
boten.” 

Tatsächlich bekommen Cloud-Diens- 
te nur dann eine Zertifizierung vom 
Bundesamt für Sicherheit in der Infor- 
mationstechnologie (BSI), wenn sie 
Passwörter verschlüsselt speichern. 
Dies ist neuerdings auch laut Daten- 
schutz-Grundverordnung geboten. 
Dasselbe gilt auch für die Sperrcodes 
von Handys. Diese sind in der Regel nur 
auf den Geräten und nicht auf den Ser- 
vern der Unternehmen gespeichert. 

Das Signal, dass der Staat prinzipiell 
auch auf solche Daten zugreifen möch- 
te, hat bereits die Bürgerrechtsorgani- 
sation Gesellschaft für Freiheitsrechte 
(GFF) auf den Plan gerufen. Deren Vor- 
sitzender Ulf Buermeyer kündigte an, 
voraussichtlich Verfassungsbeschwer- 
de einzulegen: „Strafverfolger könnten 
durch die Regelung auf den Gedanken 
kommen, dass sie Unternehmen dazu 
zwingen könnten, ihre Passwörter un- 
verschlüsselt zu speichern.” 

Auf diese Kritik reagierte Bundes- 
justizministerin Christine Lambrecht 
(SPD) und kündigte an, den Entwurf zu 
überarbeiten und „klarzustellen”, dass 
auch künftig Passwörter verschlüsselt 
abgelegt und gespeichert werden dür- 
fen. Die Herausgabe von Passwörtern 
solle „nur bei der Verfolgung schwers- 
ter Straftaten in Frage” kommen, etwa 
Kindesmissbrauch, Mord und Terroris- 
mus und von der Erlaubnis eines Rich- 
ters abhängig gemacht werden. 
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- Meldepflicht bei Äußerungsdelikten 


Die zweite geplante große Änderung 
für soziale Netzwerke besteht darin, 
dass das Justizministerium eine Anzei- 
gepflicht für bestimmte Äußerungsde- 
likte festschreiben will. Unternehmen 
wie Facebook oder Twitter sollen ver- 
pflichtet werden, bestimmte Hasspos- 
tings ihrer Nutzer nicht nur zu löschen 
wie bisher, sondern sie auch an das 
Bundeskriminalamt (BKA) zu melden. 
Hierzu soll das Netzwerkdurchsetzungs- 
gesetz verschärft werden. Auf der Liste 
dieser Delikte stehen unter anderem 
Volksverhetzung und das Verwenden 
verfassungsfeindlicher Symbole, das 
Billigen von Straftaten sowie Morddro- 
hungen. 

Im Zuge der neuen Meldepflicht sollen 
die Betreiber sozialer Netzwerke nicht 
nur verpflichtet werden, die IP-Adres- 
se von Nutzern zu übermitteln, deren 
Beiträge sie gelöscht haben. Sie sollen 
auch die sogenannte Portnummer he- 
rausgeben. Mit dieser Nummer lassen 
sich verschiedene Dienste identifizie- 
ren, die über dieselbe IP-Adresse ab- 
laufen. Hintergrund ist, dass Ermittler 
mit den neuen Mobilfunkstandards wie 
LTE oft ein Problem haben. Heute haben 
oft Hunderte Nutzer dieselbe öffentli- 
che IP-Adresse, obwohl sie jeweils ein 
eigenes Gerät benutzen. Das liegt unter 
anderem daran, dass Mobilfunkprovider 
ihren Kunden geteilte öffentliche IP- 
Adressen zuweisen, weil die Adressen 
in dem heute am meisten verbreiteten 
Format knapp werden. Ein ähnliches 
Problem haben Ermittler, wenn Nutzer 
einen von mehreren Nutzern verwende- 
ten Internetzugang wie zum Beispiel im 
Wifi eines Cafes nutzen. In solchen Fäl- 
len soll den Ermittlern die Portnummer 
helfen. 

Wenn die Polizei allerdings eine Port- 
nummer von Facebook, Google und Co. 
bekäme, könnten die Ermittler mit den 
Ziffern allein immer noch nichts anfan- 
gen. Sie müssten jetzt beim Internetan- 
bieter, etwa der Telekom, Vodafone oder 
02, anfragen, welche Person hinter der 
Portnummer steckt. Doch die Provider 
speichern diese Daten bisher gar nicht. 
Damit die Meldepflicht praktisch etwas 
bringt, müssten die Provider verpflich- 
tet werden, auch die Portnummern zu 
speichern und damit viel mehr Daten 
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über ihre Kunden speichern als bisher. 
Deshalb warnte der Vorsitzende des Ver- 
bandes der Internetwirtschaft eco, Oli- 
ver Süme: „Hier geht es nicht mehr nur 
um die Bekämpfung von Hasskriminali- 
tät, sondern um die Einrichtung umfas- 
sender Überwachungsrechte für Staat 
und Behörden.” Kritik äußerte auch der 
Digitalverband Bitkom. 

Keine Meldepflicht soll es weiterhin 
bei Beleidigung und übler Nachrede 
geben. Dies sind Delikte, die bislang 
nur auf Wunsch des Opfers verfolgt 
werden können. Dabei soll es auch in 
Zukunft bleiben. Jedoch soll für soziale 
Netzwerke eine neue Pflicht eingeführt 
werden: Wenn sich Betroffene über eine 
Beleidigung zum Beispiel bei Facebook 
beschweren, muss das Netzwerk sie da- 
rüber informieren, dass sie Strafanzei- 
ge und Strafantrag stellen können und 
wo sie hierüber Informationen erhalten 
können. Im Strafgesetzbuch werden 
solche sogenannten Äußerungsdelikte 
bislang relativ milde gewichtet. 


- Erweiterte Strafbarkeit 


So plant das Justizministerium nun 
Verschärfungen bei der Billigung von 
Straftaten und bei der strafbaren Be- 
drohung. Bislang gibt es den alten 
Tatbestand „Billigung von Straftaten” 
(8 140 StGB - Strafgesetzbuch). Dieser 
Tatbestand soll erweitert werden. In 
Zukunft soll nicht nur bestraft werden, 
wer eine kriminelle Tat billigt, die schon 
begangen worden ist. Bestraft werden 
soll auch, wer eine kriminelle Tat billigt, 
die noch nicht begangen worden ist, 
also eine fiktive Tat. In letzter Zeit hat 
es dafür viele ernste Beispiele gegeben. 
Die Pegida-Anhänger zum Beispiel, die 
einen Galgen bastelten und mit „An- 
gela ‚Mutti‘ Merkel” und „Sigmar ‚Das 
Pack’ Gabriel” beschrifteten, kamen 
bisher straflos davon. Die sächsische 
Justiz pochte darauf, bislang habe real 
niemand Merkel oder Gabriel gelyncht. 
„Etwaige zukünftige Taten sind ... nicht 
umfasst“, schrieb die Staatsanwalt- 
schaft Chemnitz im November 2017 in 
ihrem Einstellungsbescheid. 

Wenn im Netz jemand schreibt, er hof- 
fe, dass eine Person vergewaltigt werde, 
oder er fände es gut, wenn sie „an die 
Wand gestellt” würde - dann ist auch das 
bislang meist straflos. Auch eine Strafe 


wegen Bedrohung kommt dann nicht in 
Betracht, da der Täter vorgibt, bloßer 
Beobachter zu sein. Nach dem Entwurf 
des Justizministeriums würde die Jus- 
tiz hier viel konsequenter einschreiten 
können und müssen. 

Eine deutliche Verschärfung des Straf- 
rechts schlägt das Bundesjustizminis- 
terium beim Paragrafen gegen Bedro- 
hungen vor. Bislang ist nach 8 241 StGB 
nur die Drohung mit einem Verbrechen, 
also einer recht schwer wiegenden Tat, 
strafbar. Ein Beispiel dafür ist die ano- 
nyme Drohung per Fax gegen die aus 
dem NSU-Prozess bekannte Frankfurter 
Rechtsanwältin Seda Basay-Yıldız, man 
werde ihre Tochter „schlachten“. In Zu- 
kunft soll jegliche Drohung, also auch 
mit einem weniger schwer wiegenden 
Gewaltdelikt gegen das Opfer selbst oder 
eine ihm nahestehende Person, verfolgt 
werden können, angefangen mit einer 
einfachen Körperverletzung („Ich hau 
dich!”). Strafbar wird ebenso die Dro- 
hung mit Gewalt gegen Dinge von grö- 
ßerem Wert („Ich zünd dein Auto an!”). 

Zudem soll die Justiz diese Art von Äu- 
ßerungsdelikten deutlich ernster neh- 
men als bisher. Bislang liegt die Höchst- 
strafe bei einem Jahr Haft. Künftig soll 
sie bei öffentlichen Drohungen im Netz 
zwei Jahre betragen - und bei der Dro- 
hung mit einem Verbrechen, die öffent- 
lich ausgesprochen wurde, sogar drei 
Jahre (Hoppenstedt/Steinke, Behörden 
sollen Zugriff auf Internet-Passwörter 
bekommen, u. Neue Wege im Kampf ge- 
gen Hass im Setz, SZ 16.12.2019, 1u. 6; 
Hoppenstedt, Problemfall Passwort, SZ 
17.12.2019, 5; Brühl, Lambrechts Klar- 
stellung, SZ 29.01.2020, 5). 


Bund 


Bär fordert völliges Werbe- 
profiling-Verbot bei Kin- 
dern 


Die Digital-Staatsministerin Doro- 
thee Bär (CSU) ist bisher selten durch 
sinnvolle Vorschläge aufgefallen. Jetzt 
aber fordert sie mit guten Gründen, dass 
das Verwenden persönlicher Daten von 
Kindern und Jugendlichen für Werbung 
und Profilerstellung verboten wird. Sie 
möchte klare Regeln zum Schutz persön- 
licher Daten von Kindern im Internet: 
„Die Nutzung von persönlichen Daten 
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von Kindern und Jugendlichen zu Wer- 
bezwecken oder für die Erstellung von 
Persönlichkeits- oder Nutzerprofilen 
muss klar und eindeutig verboten sein. 
Jugendliche und Kinder, die die virtuel- 
le Umgebung des Internets oftmals auch 
als Testgebiet für die Entwicklung ihrer 
Persönlichkeit nutzen, sind besonders 
schutzbedürftig.” 

Der Bundesverband der Verbraucher- 
zentralen (vzbv) hatte jüngst in einem 
Positionspapier zur europäischen Daten- 
schutz-Grundverordnung (DSGVO) gefor- 
dert, das „besondere Schutzbedürfnis 
von Kindern” stärker zu berücksichtigen. 
Zwar seienin der DSGVO bereits Restrikti- 
onen für die Verarbeitung von Daten von 
Kindern angelegt, diese griffen jedoch 
oftmals zu kurz. Eine „Verarbeitung von 
Daten von Kindern zu Werbezwecken 
oder für die Erstellung von Persönlich- 
keits- oder Nutzerprofilen” solle grund- 
sätzlich ausgeschlossen sein. 

Die FDP äußerte sich dazu „kritisch“. 
Der stellvertretende Fraktionsvorsit- 
zende Frank Sitta sagte: „Verbote sind 
kaum durchsetzbar und führen meis- 
tens zu Ausweichbewegungen. Daher 
sind Verbote und Pflichten im Netz 
zumeist kontraproduktiv. Viele Platt- 
formen, die digitale Angebote bieten, 
reagieren bereits mit kindergerechten 
Versionen ihrer Produkte.“ Der beste 
Schutz für Kinder und Jugendliche sei 
Bildung und ein „gesunder“ Umgang 
mit digitalen Medien im Elternhaus. 
Statt Verboten sprach sich Sitta für ein 
eigenes Schulfach für digitale Kompe- 
tenzen aus. 

Bundesfamilienministerin Franziska 
Giffey (SPD) will bis zum Jahresende 
ihre Vorschläge für mehr Schutz von 
Kindern und Jugendlichen bei Video- 
spielen und Apps vorlegen. Dies soll 
Teil des geplanten entsprechenden Ju- 
gendmedienschutzgesetzes sein. Kin- 
der und Jugendliche sollen so besser 
vor Cyber-Mobbing, sexueller Belästi- 
gung und Suchtgefahr geschützt wer- 
den. Bei der Gesetzesnovelle will Giffey 
auch Messenger-Dienste in den Blick 
nehmen. Sie plädiert für sichere Vor- 
einstellungen für Kinder und ein Mel- 
desystem (Wittenhorst, Bär: Nutzung 
persönlicher Daten von Kindern zu 
Werbezwecken verbieten, www.heise. 
de 07.12.2019, Kurzlink: https:// 
heise.de/-4607981). 
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Bund 


Innenminister wollen 
Steuer-ID als Personen- 
kennzeichen nutzen 


Bei der seit Jahren in Expertenkreisen 
diskutierten Registermodernisierung 
mit einem verfahrensübergreifenden 
„Ldentitätsmanagement” machen die 
Innenminister von Bund und Ländern 
weiter Druck. In einem von der Innen- 
ministerkonferenz (IMK) veröffentlich- 
ten Zwischenbericht heißt es, dass „bis 
zum 1. Quartal 2020” klar sein müsse, 
welches Identitätsmerkmal hierzulan- 
de genutzt werden solle, um etwa An- 
gaben zu Unternehmen, Gebäuden und 
Wohnungen sowie Flurstücken mit ein- 
zelnen Personen aus den Datenbestän- 
den der Behörden zusammenzuführen: 
„Verlässliche Angaben zur Identität 
von Personen sind die Basis aller Ver- 
waltungsleistungen. ... Wird die Ver- 
waltung zunehmend digitalisiert, muss 
auch in der digitalen Kommunikation 
gewährleistet sein, dass Personenver- 
wechslungen ausgeschlossen und die 
betroffene Person eindeutig identifi- 
ziert wird.“ Heißer Favorit des Hauses 
von Horst Seehofer (CSU) für eine ein- 
schlägige übergreifende Kennziffer ist 
die an sich bereits umstrittene einheit- 
liche Steuer-Identifikationsnummer. 
Die „Steuer-ID“ sei, so der Bericht, „der 
bekannteste der bereits bestehenden 
Identifier in Deutschland“. Zusätzlich 
habe diese Kennung den großen Vor- 
teil, dass das Bundeszentralamt für 
Steuern (BZSt) bereits in mehreren 
Jahren unter einigen Mühen eine da- 
rauf basierende zentrale Datenbank 
aufgebaut hat. Ein solches Identitäts- 
register sei generell nötig, „um eine 
registerübergreifend einheitliche Ver- 
antwortung für die Aktualität, Qualität 
und Konsistenz des Basisdatensatzes 
einer Person” mit Vor- und Nachname, 
Geburtsdatum und -ort, aktueller Mel- 
deadresse und Staatsangehörigkeit „zu 
etablieren und einen eindeutigen Iden- 
tifier zu vergeben”. 

Die Steuer-ID-Datenbank des BZSt 
enthalte keine Finanz- oder Steuerin- 
formationen, sondern Angaben, „die 
der eindeutigen Identifikation einer 
Person dienen“. Dabei würden durch 


Datenübermittlungen der Meldebehör- 
den alle meldepflichtigen sowie über 
die Finanzämter weitere steuerpflichti- 
ge Personen erfasst. Unstimmigkeiten 
bei Datensätzen kläre das BZSt zusam- 
men mit den anderen beteiligten Stellen 
ab. Das System spiele damit schon heute 
„eine wichtige Rolle bei der Qualitätssi- 
cherung der Daten in den Registern der 
Innenverwaltung”. 

Auch „Datenkranz, Personenkreis und 
Aufgaben der Steuer-ID-Datenbank” 
weisen laut den Berichtsautoren bereits 
jetzt einen hohen Deckungsgrad zu den 
Anforderungen der Innenministerkon- 
ferenz (IMK) auf. Sie heben vor allem 
„die große Expertise des BZSt im Be- 
reich der Qualitätssicherung von Identi- 
tätsdaten und bei der Vergabe eindeuti- 
ger Identifikatoren“ hervor, auch wenn 
„die wahre Identität von Personen” 
bisher nicht hinterfragt werde und hier 
noch nachgebessert werden müsse. Für 
erforderliche Datenübermittlungen in 
oder aus anderen Registern könnte fer- 
ner „weiterhin das Meldewesen seine 
Stärke als ‚informationelles Rückgrat 
der Verwaltung’ ausspielen”. 

Datenschützer, für die ein allgemei- 
nes Personenkennzeichen ein rotes 
Tuch ist, bemängeln seit Langem, dass 
die Steuer-ID entgegen der ursprüngli- 
chen politischen Beteuerungen zuneh- 
mend in den verschiedensten Lebensbe- 
reichen verwendet wird. Banken, Versi- 
cherungen und Krankenkassen hätten 
das personenbezogene Merkmal für sich 
entdeckt, was die Gefahr der Anlage 
aussagekräftiger Persönlichkeitsprofile 
vergrößere. 

Das Bundesinnenministerium sieht 
dagegen keine Probleme rund um die 
Privatheit der Bürger. Nach der Recht- 
sprechung des Bundesverfassungsge- 
richt sei mit Blick auf das informati- 
onelle Selbstbestimmungsrecht zwar 
insbesondere durch organisatorische, 
technische und rechtliche Maßnahmen 
zu verhindern, dass alle mit dem Kenn- 
zeichen verbundenen Daten zusammen- 
geführt werden. Ferner sei „begründet 
darzulegen, dass unter Berücksichti- 
gung der verfolgten Ziele der Grund- 
rechtseingriff im Ergebnis verhältnis- 
mäßig ist”. Dies seiim Rahmen des Kon- 
zepts aber machbar. 

Einschlägige rechtliche Rahmenbe- 
dingungen fänden sich in der Daten- 
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schutz-Grundverordnung (DSGVO) und 
gegebenenfalls in „ergänzenden Rege- 
lungen”, legen die Autoren dar. Diese 
lasse in Artikel 87 „Kennzeichen von all- 
gemeiner Bedeutung ausdrücklich zu”. 
Um Risiken zu begegnen, sollten „Abhil- 
femaßnahmen“ aber schon bei der Kon- 
zeption durch geeignete Weichen- und 
Voreinstellungen im Sinne von „Privacy 
by Design” berücksichtigt werden. Der 
IMK-Beschluss beinhalte zudem eine 
Maßgabe, dass die betroffenen Perso- 
nen im Rahmen ihres datenschutzrecht- 
lichen Auskunftsrechts über eine Art 
Cockpit „jederzeit auf einfache Weise 
feststellen können, welche Behörde zu 
welchem Zweck auf welche ihrer Daten 
zugegriffen hat”. 

„Die fachlichen Themen und die Ge- 
staltung der Prozesse und der Verant- 
wortung für die neuen Verwaltungsauf- 
gaben” sollen laut den Innenministern 
bis zum Frühjahr 2020 mit einem Ab- 
schlussbericht so weit vorangebracht 
werden, „dass eine Entscheidung da- 
rüber getroffen werden kann“, ob das 
vorgesehene Identitätsmanagement 
über die Steuer-ID realisiert „oder eine 
neue Datenbank aufgebaut werden 
soll”. Zumindest für das Bundesressort 
ist dabei angesichts des „dargestellten 
fachlichen Mehrwerts” der skizzierten 
Lösung schon klar, wohin die Reise ge- 
hen soll. Die IMK insgesamt begrüßte 
diese Linie Anfang Dezember auf ihrer 
Herbsttagung in Lübeck (Krempl, In- 
nenminister: Melderegister sollen über 
die Steuer-ID vernetzt werden, www. 
heise.de 14.12.2019, Kurzlink: https:// 
heise.de/-4615550). 


Bund 


Smart-Meter-Einführung 
steht vor der Tür 


Nach einem mehrjährigen Vorlauf 
sollen in absehbarer Zeit endgültig die 
gesetzliche Pflichten zum Einbau intel- 
ligenter Stromzähler greifen. Eine der 
wichtigsten Voraussetzungen ist, dass 
das Bundesamt für Sicherheit in der 
Informationstechnik (BSI) zunächst 
Smart-Meter-Gateways von drei unter- 
schiedlichen Herstellern überprüft und 
für gut befunden hat. Diese Auflage ist 
seit dem 19.12.2019 erfüllt, nachdem 
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die Behörde das dritte einschlägige Zer- 
tifikat an die Firma EMH Metering über- 
geben hat. Zuvor hatten die Unterneh- 
men Power Plus Communications und 
OpenLimit SignCubes gemeinsam Ende 
2018 sowie Sagemcom Dr. Neuhaus im 
September 2019 erfolgreich das aufwän- 
dige Zertifizierungsverfahren durch- 
laufen. Dabei evaluierte das BSI neben 
den Sicherheitsvorgaben in den Geräten 
selbst auch die Herstellungs- und Ent- 
wicklungsprozesse der Produzenten so- 
wie die Auslieferungswege der Systeme. 
Sieben weitere Gateways befinden sich 
noch im Zertifizierungsverfahren. 

Im Herbst hatte das BSI zudem auch 
drei dazugehörige Sicherheitsmodu- 
le der Unternehmen NXP/T-Systems, 
STMicroelectronics und Gemalto offiziell 
gebilligt. Ferner hatte die Behörde bis 
dahin bei 38 Unternehmen festgestellt, 
dass sie die Vorgaben für den sicheren 
Betrieb von Gateways umgesetzt haben, 
sowie 10 Zertifizierungsdienstleister für 
die einschlägige Public-Key-Infrastruk- 
tur (PKI) registriert. 

BSI-Präsident Arne Schönbohm 
sprach von einem „wichtigen Schritt hin 
zu einer erfolgreichen Digitalisierung 
der Energieversorgung in Deutschland”. 
Seine Prüfer hätten gezeigt, „dass inno- 
vative Technik und Informationssicher- 
heit dabei Hand in Hand gehen“ und die 
Privatsphäre der Verbraucher geschützt 
sei. Für die breite Einführung der Tech- 
nik gemäß dem Messstellenbetriebsge- 
setz fehlt nun noch eine erneute Markt- 
analyse des BSI, in der diese die techni- 
sche Möglichkeit eines flächendecken- 
den Betriebs intelligenter Stromzähler 
feststellen muss. Dieser abschließende 
Schritt soll laut der Behörde - etwas 
verzögert - Anfang 2020 erfolgt sein. 
In der sogenannten Markterklärung 
sollen „die besonderen Anforderungen 
unterschiedlicher Einsatzbereiche” mit 
den technischen Gegebenheiten abge- 
glichen werden. Ende Januar 2019 hatte 
das BSI bereits in der Vorjahresanalyse 
konstatiert, dass die für den verschlüs- 
selten Einsatz intelligenter Messsyste- 
me nötige Infrastruktur ausnahmslos 
verfügbar sei. Seitdem war der freiwil- 
lige Einbau von zertifizierten Geräten 
prinzipiell möglich. Die kommende 
Pflicht besteht für Haushalte mit einem 
Jahresstromverbrauch von über 6.000 
kWh, was durchschnittlich mit fünfoder 


mehr Personen erreicht sein dürfte. 

Smart Meter werden auch vorge- 
schrieben, wenn Solaranlagen mit einer 
Leistung von sieben bis 100 Kilowatt 
installierter Leistung Strom erzeu- 
gen oder Verbraucher ein verringertes 
Netzentgelt für eine Wärmepumpe oder 
eine Nachtspeicherheizung zahlen be- 
ziehungsweise über eigene Ladepunkte 
für Elektromobile verfügen. Für Haus- 
halte mit einem Jahresverbrauch un- 
ter der festgelegten Grenze kann der 
Einbau trotzdem obligatorisch werden, 
wenn der Messstellenbetreiber oder der 
Vermieter Nägel mit Köpfen machen. 

Der Verbraucherzentrale Bundesver- 
band (vzbv) befürchtet, „dass Verbrau- 
cher auf Zusatzkosten sitzen bleiben”. 
Theoretisch seien Smart Meter zwar eine 
gute Sache, da sie „die Energiewende 
voranbringen sollen“. Die Netz- und 
Messstellenbetreiber müssten aber auch 
variable Tarife anbieten und einge- 
sparte Kosten vollständig weitergeben. 
Smart Meter der ersten Generation sei- 
en zudem technisch nicht in der Lage, 
Photovoltaikanlagen und Ladestatio- 
nen für E-Fahrzeuge je nach Netzaus- 
lastung selbstständig zu steuern. Dafür 
seien weitere Geräte erforderlich. Laut 
einer im Auftrag des vzbv vom Hopp- 
Marktforschungsinstitut durchgeführ- 
ten repräsentativen Umfrage sind 69% 
der Verbraucher der Meinung, dass in- 
telligente Stromzähler nur eingebaut 
werden sollten, wenn die Kosteneinspa- 
rung durch weniger Energieverbrauch 
etwa die Einbau- und Betriebsgebühren 
übersteigt. 

Die Grünen im Bundestag wollen der- 
weil Konsumenten mehr Souveränität 
bei Strombezug und -verbrauch einräu- 
men. In einem Antrag fordert die Frakti- 
on eine Garantie, dass Haushaltskunden 
von der Smart-Meter-Einführung „in der 
Regel finanziell profitieren“. Die Chan- 
cen der Digitalisierung für die Ener- 
giewende müssten besser genutzt, An- 
wendungsmöglichkeiten der Gateways 
erweitert werden. Die Piraten rufen 
dagegen schon seit Längerem zum Wi- 
derstand gegen die Zwangsbeglückung 
der privaten Verbraucher mit „Spiona- 
gezählern” auf (Krempl, Intelligente 
Stromzähler: Pflicht zum Smart-Meter- 
Einbau soll Anfang 2020 greifen, www. 
heise.de 23.12.2019, Kurzlink: https:// 
heise.de/-4623221). 
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Bund 


4 


BSI warnt vor „Emotet 
verseuchten Behörden- 
Mails 


Das Bundesamt für Sicherheit in der 
Informationstechnik (BSI) warnte Mit- 
te Dezember 2019, dass im Namen des 
Staates gegen dessen Willen gefährli- 
che E-Mails verschickt werden. Mehrere 
Bundesbehörden wurden vom mächti- 
gen Botnet „Emotet“ infiziert. Bürger 
sollten besonders vorsichtig sein, wenn 
sie E-Mails von Behörden bekämen. Über 
Anhänge und Links in solchen E-Mails 
könnten Bürger ihre eigenen Computer 
infizieren. Das BSI warnt davor, solche 
E-Mails und Links zu öffnen. Sollte ein 
Mitarbeiter eines Unternehmens eine 
verdächtige E-Mail oder einen verdäch- 
tigen Anhang schon geöffnet haben, 
solle er seinen IT-Sicherheitsbeauftrag- 
ten informieren. 

Dem BSI waren zuvor mehrere be- 
stätigte Emotet-Infektionen in Behör- 
den der Bundesverwaltung gemeldet 
worden. Emotet hatte E-Mail-Adressen 
und ganze Mail-Verläufe der Behör- 
den ausgelesen und versuchte dann, 
diese als Tarnung zu nutzen, um wei- 
tere Computer zu infizieren: Das BSI 
weist darauf hin, dass die Angreifer 
ihre Technik in den vergangenen Jah- 
ren mehrfach weiterentwickelt haben: 
„Damit gelingt es Emotet, eine sehr 
weite ungezielte Verbreitung zu errei- 
chen, die andere Spam-Kampagnen bei 
weitem übersteigt. Emotet gilt derzeit 
als die gefährlichste Schadsoftware der 
Welt.” CERT-Bund, das Computer-Not- 
fallteam des BSI für die Bundesverwal- 
tung, warnte auf Twitter: „Sei nicht der 
Nächste”. Das Amt spricht von „hoch- 
karätigen Opfern” der Software. Scha- 
den in den Behörden selbst sei nicht 
angerichtet worden. Es handele sich 
um Erstinfektionen, die dazu führten, 
dass weitere Spam-Mails im Namen der 
Betroffenen verschickt würden. Das 
BSI bereinigte die infizierten Systeme. 
Dem Amt zufolge ist es die erste größe- 
re Emotet-Infektion in den Bundesbe- 
hörden. 

Entdeckt wurde Emotet 2014, da- 
mals wurde es vor allem als Banking- 
Trojaner verwendet. Einmal von ah- 
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nungslosen Menschen installiert, 
stahl das Programm die Zugangsdaten 
zum Konto, wenn der Nutzer an sein 
Online-Banking wollte. Heute können 
Cyberkriminelle über Emotet weitere 
Schadsoftware auf infizierte Rechner 
nachladen, darunter den Banking- 
Trojaner Trickbot, der Kontos knacken 
soll, oder Ransomware wie Ryuk, die 
Dateien verschlüsselt und Lösegeld 
fordert, um die Dateien wieder ver- 
wendbar zu machen (Gefahr per Mail, 
SZ 19.12.2019, 5). 


Bund 


1&1 soll 9,5 Millionen Euro 
Strafe zahlen 


Der Bundesdatenschutzbeauftragte 
(BfDI) Ulrich Kelber hat gegen die Tele- 
kommunikationsfirma 181 ein Bußgeld 
in Höhe von 9,55 Millionen Euro ver- 
hängt. Der Telekommunikationsdienst- 
leister, zu dessen Konzernverbund auch 
die von dem Fall nicht betroffenen Mail- 
Anbieter Web.de und GMX gehören, hat- 
te Kelber zufolge „keine hinreichenden 
technisch-organisatorischen Maßnah- 
men” zum Schutz von Kundendaten er- 
griffen. Die Aufsichtsbehörde wirft der 
Firma vor, dass Unberechtigte an der 
Telefon-Hotline vergleichsweise ein- 
fach „weitreichende Informationen zu 
weiteren personenbezogenen Kunden- 
daten“ erhalten konnten. Die Angabe 
von Namen und Geburtsdatum von Be- 
troffenen hätten ausgereicht. In diesem 
Authentifizierungsverfahren sieht der 
BfDI einen Verstoß gegen Artikel 32 
DSGVO, wonach Unternehmen geeig- 
nete technische und organisatorische 
Maßnahmen ergreifen müssen, um die 
Verarbeitung personenbezogener Daten 
systematisch zu schützen. 

1&1 zeigte sich Kelber zufolge „ein- 
sichtig und äußerst kooperativ”. In 
einem ersten Schritt habe der zu Dril- 
lisch gehörende Konzern zunächst den 
Authentifizierungsprozess durch die 
Abfrage zusätzlicher Angaben stärker 
abgesichert. Ferner werde derzeit nach 
Absprache mit der Aufsicht „ein neues, 
technisch und datenschutzrechtlich 
deutlich verbessertes Authentifizie- 
rungsverfahren eingeführt“. Trotz der 
raschen Anpassungen hielt Kelber es für 


geboten, die millionenschwere Geldbu- 
ße zu verhängen. Der Verstoß habe ein 
Risiko für den gesamten Kundenbe- 
stand dargestellt. Die Höhe der Strafe 
bewege sich aufgrund des kooperativen 
Verhaltens von 1&1 im unteren Bereich 
des möglichen Bußgeldrahmens. Das 
Unternehmen selbst betont aktuell auf 
seiner Startseite im Web: „Ihre Privat- 
sphäre ist uns wichtig! Der Schutz ihrer 
persönlichen Daten hat für 1&1 oberste 
Priorität.” 

Parallel hat der BfDI in einem weite- 
ren Verfahren den Telekommunikati- 
onsanbieter Rapidata mit einem Buß- 
geld in Höhe von 10.000 Euro belegt. 
Dies sei erforderlich gewesen, da die 
Firma ihrer „gesetzlichen Auflage nach 
Artikel 37 DSGVO zur Benennung des 
betrieblichen Datenschutzbeauftragten 
trotz mehrmaliger Aufforderung nicht 
nachgekommen ist”. Bei der Höhe der 
Sanktion habe man berücksichtigt, dass 
es sich um ein „Kleinstunternehmen” 
handele. 

Die Behörde untersucht „aufgrund 
von eigenen Erkenntnissen, Hinweisen 
und auch Kundenbeschwerden zudem 
derzeit die Authentifizierungsprozes- 
se weiterer Anbieter von Telekommu- 
nikationsdienstleistungen“. Die 1&1 
Telecom GmbH kündigte an, gegen den 
„absolut unverhältnismäßigen“ Buß- 
geldbescheid zu klagen. Es habe sich 
um einen Einzelfall aus dem Jahr 2018 
gehandelt, beidem es „um die telefoni- 
sche Abfrage der Handynummer eines 
ehemaligen Lebenspartners” gegangen 
sei. Die zuständige Mitarbeiterin habe 
dabei alle Anforderungen der damals 
bei 1&1 gültigen Sicherheitsrichtli- 
nien erfüllt. Zu diesem Zeitpunkt sei 
eine Zwei-Faktor-Authentifizierung 
üblich gewesen, einen einheitlichen 
Marktstandard für höhere Sicherheits- 
anforderungen habe es nicht gegeben. 
In den nächsten Tagen werde man als 
eines der ersten Unternehmen der 
Branche jedem Kunden eine persönli- 
che Service-PIN bereitstellen. Die Da- 
tenschutzbeauftragte von 1&1, Julia 
Zirfas, monierte, dass die Mitte Okto- 
ber 2019 eingeführte neue Bußgeld- 
logik der hiesigen Aufsichtsgremien 
„gegen das Grundgesetz” verstoße. 
Diese orientiere sich am jährlichen 
Konzern-Umsatz. So können bereits 
kleinste Abweichungen „riesige Geld- 
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bußen zur Folge haben” (Krempl, DS- 
GVO-Verstoß: 1&1 muss knapp 10 Milli- 
onen Euro Strafe zahlen, www.heise.de 
09.12.2019, Kurzlink: https://heise. 
de/-4608676). 


Bundesweit 


Aufsichtsbehörden legen 
Bußgeldmodell vor 


Die deutschen Aufsichtsbehörden 
haben am 14.10.2019 ein Berechnungs- 
modell verabschiedet, wonach die 
Bußgeldzumessung bei Datenschutz- 
verstößen für Unternehmen in fünf 
Schritten erfolgen soll: 1. Bestimmung 
Größenklasse; 2. Bestimmung mittlerer 
Jahresumsatz; 3. Ermittlung wirtschaft- 
licher Grundwert; 4. Multiplikation des 
Grundwerts mit Faktor X (Schwere der 
Tatumstände); 5. Anpassung anhand tä- 
terbezogener und sonstiger Umstände 
(Handsteuerung). Von einigen Daten- 
schutzbehörden wurde angekündigt, 
dass die bisherige milde Bußgeldpraxis 
ein Ende haben werde (s.u., auch unter 
Berlin zu Deutsche Wohnen; Bußgeld- 
berechnungskonzept:  https://www. 
datenschutzkonferenz-online.de/ 
media/ah/20191016_bu%C3%9 
Fgeldkonzept.pdf). 


Bundesweit 


Datenschutz-Bußgelder 
steigen drastisch 


Im Jahr 2019 sind in Deutschland 
mindestens 185 Bußgelder wegen Da- 
tenschutz-Verstößen verhängt worden, 
im Vorjahr waren es 40. Eine Umfrage 
des „Handelsblatts” unter den Daten- 
schutzaufsichtsbehörden der Länder 
ergab, dass seit dem Start der DSGVO im 
Mai 2018 225 Bußgelder ausgesprochen 
wurden. Im bevölkerungsreichsten Land 
Nordrhein-Westfalen wurden 2019 dem- 
nach 64 Bußgelder (2018: 33) verhängt, 
in Berlin 44 (2018: 2), in Niedersachsen 
19 (2018: 0), in Baden-Württemberg 17 
(2018: 2). Das Saarland sprach in sechs 
Fällen Bußgelder aus (2018: 1). Meck- 
lenburg-Vorpommern hatte keine Anga- 
ben gemacht (Drastische Steigerung, SZ 
02.01.2010, 27). 
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Baden-Württemberg 


DSGVO in Kommunen bisher 
nur bedingt angekommen 


Eine Umfrage unter Gemeinden in 
Baden-Württemberg zeigt, dass die 
meisten Kommunen mit der Umset- 
zung der Anforderungen der europäi- 
schen Datenschutz-Grundverordnung 
(DSGVO) noch hadern. Sie fühlen sich 
stark belastet, da Personal und Zeit 
fehlen. Zu diesem Ergebnis kommt eine 
vom baden-württembergischen Lan- 
desdatenschutzbeauftragten Stefan 
Brink durchgeführte Umfrage, an der 
sich 87% der rund 1.100 Gemeinden 
beteiligten. 

2% der Gemeinden haben danach die 
Umsetzung der DSGVO bereits abge- 
schlossen. 25% haben alle relevanten 
Prozesse zumindest angestoßen, 32% 
die Hälfte der relevanten Prozesse, al- 
lerdings 39 % der Gemeinden mit der 
Umsetzung „gerade erst begonnen”. 
Ein Verarbeitungsverzeichnis haben 
28% der Gemeinden noch nicht erstellt, 
76% haben sich noch nicht mit der Fra- 
ge der Datenschutz-Folgenabschätzung 
befasst. 11% hingegen haben bei den 
Informationsrechten und 14% bei den 
Betroffenenrechten Nachholbedarf. 

Stefan Brink meinte, es bestehe 
„vor allem bei kleineren Gemeinden 
der Eindruck, den Anforderungen der 
Datenschutz-Grundverordnung sei mit 
der Bestellung eines Datenschutzbe- 
auftragten bereits genüge getan”. 78% 
der Gemeinden haben einen externen 
Datenschutzbeauftragten, die meisten 
beim gleichen Anbieter. Dessen Be- 
treuung wird „oft als nicht zufrieden- 
stellend” bezeichnet. Brink sieht den 
Hauptgrund im Betreuungsschlüssel: 
„Ein hauptamtlicher externer Daten- 
schutzbeauftragter sollte nicht mehr als 
15 bis 20 Gemeinden betreuen.” 

Insbesondere im Bereich der Datensi- 
cherheit gebe es „häufig ungenügende 
Zustände“. Hier muss, so der Landes- 
beauftragte, „dringend nachgebessert” 
werden. So gaben 48% der Gemeinden 
an, ihre Laptops nicht zu verschlüs- 
seln, bei Desktop-Computern sind es 
57%. Überdies binden über die Hälfte 
der kommunalen Websites Elemente 
von Dritten ein, etwa Google oder Fa- 
cebook, wozu Brink klarstellte: „Dafür 


gibt es keine Rechtsgrundlage.” Nur 
wenige Gemeinden bieten den Bürgern 
die Möglichkeit, sicher per Ende-zu- 
Ende-Verschlüsselung mittels E-Mail zu 
kommunizieren. Am häufigsten kommt 
dabei der Dienst De-Mail zum Einsatz. 
Entsprechend melden die Gemeinden 
bei der Datenschutzaufsichtsbehörde 
einen „sehr hohen” Bedarf an Beratung 
und Unterstützung an. Diese können 
beispielsweise geschehen durch Schu- 
lungen, Mustervorlagen oder Handrei- 
chungen. Die Behörde stellt deshalb 
nun auch eine neue Broschüre „Daten- 
schutz bei Gemeinden” zur Verfügung 
(Schulzki-Haddouti, Kommunen äch- 
zen unter der Datenschutz-Grundver- 
ordnung, wwwr.heise.de 05.11.2011, 
Kurzlink: https://heise.de/-4578358, 
Umfrageergebnisse unter https://www. 
baden-wuerttemberg.datenschutz.de/ 
gemeinden-umfrage/). 


Bayern 


Linke fordern in Erlangen 
Ehrenbürgerwürde für 
Chelsea Manning 


Die Stadtratsgruppe „erlanger linke” 
hat November 2019 in einem Antrag 
im Rat der Stadt Erlangen gefordert, 
die Whistleblowerin und „politische 
Gefangene der USA” Chelsea Manning 
zur Ehrenbürgerin zu machen. Sie habe 
Beweise über Kriegsverbrechen der US- 
Army, unter anderem das Beweisvideo 
„collateral murder”, und über Guanta- 
namo veröffentlicht - dafür ist sie zu 
30 Jahren Haft verurteilt worden. Nach 
der Begnadigung durch US-Präsident 
Barack Obama kurze Zeit frei, wurde sie 
in Beugehaft genommen, um sie dazu zu 
zwingen, Julian Assange von Wikileaks 
zu belasten, dem in den USA möglicher- 
weise die Todesstrafe drohe. Manning 
werde nicht aussagen, auch wenn das 
weitere Jahre im Gefängnis bedeute. 
Für die Linken ist sie eine politische 
Gefangene, die Solidarität und Res- 
pekt für ihre mutige und konsequente 
Haltung verdiene. Die Stadtratsgruppe 
hatte vorher die Zustimmung von Chel- 
sea Manning eingeholt, und will den 
Rat dazu bringen, ihren Antrag öffent- 
lich zu behandeln (PM erlanger linke, 
16.11.2019). 
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Berlin 


14,5 Mio.-Bußgeldbescheid 
gegen Deutsche Wohnen 


Die Immobiliengesellschaft Deutsche 
Wohnen SE hat wegen Verstoßes gegen 
die Datenschutz-Grundverordnung ein 
Bußgeld von 14,5 Mio. € von der Berli- 
ner Beauftragten für Datenschutz und 
Informationsfreiheit (BlnBDI) auferlegt 
bekommen. Deutsche Wohnen hat, wie 
sich bei Prüfungen vor Ort im Juni 2017 
und im März 2019 ergab, für die Speiche- 
rung personenbezogener Daten von Mie- 
terInnen ein Archivsystem verwendet, 
das keine Möglichkeit vorsah, nicht mehr 
erforderliche Daten zu entfernen. Perso- 
nenbezogene Daten seien gespeichert 
worden, ohne zu überprüfen, ob eine 
Speicherung zulässig oder überhaupt 
erforderlich ist. In Einzelfällen hätten 
teilweise Jahre alte private Angaben be- 
troffener Mieter eingesehen werden kön- 
nen, ohne dass diese noch dem Zweck 
ihrer ursprünglichen Erhebung dienten. 
Es habe sich dabei beispielsweise um Ge- 
haltsbescheinigungen, Selbstauskunfts- 
formulare, Auszüge aus Arbeits- und 
Ausbildungsverträgen, Steuer-, Sozial- 
und Krankenversicherungsdaten sowie 


Kontoauszüge gehandelt. 
2017 hat die Behörde der Daten- 
schutzbeauftragten (BlnBDI) Maja 


Smoltezyk gemäß eigenen Angaben dem 
Unternehmen dringend empfohlen, das 
Archivsystem umzustellen. Im März 
2019 hatte Deutsche Wohnen weder den 
Datenbestand bereinigt noch rechtliche 
Gründe vorgewiesen, die Daten weiter 
zu speichern. „Zwar hatte das Unter- 
nehmen Vorbereitungen zur Beseiti- 
gung der aufgefundenen Missstände 
getroffen. Diese Maßnahmen hatten je- 
doch nicht zur Herstellung eines recht- 
mäßigen Zustands bei der Speicherung 
personenbezogener Daten geführt.” 
Daher sei wegen eines Verstoßes gegen 
Artikel 25 Abs. 1 DSGVO sowie Artikel 5 
DSGVO ein Bußgeld fällig. 

Smoltczyk erklärte: „Datenfriedhöfe, 
wie wir sie bei der Deutsche Wohnen SE 
vorgefunden haben, begegnen uns in 
der Aufsichtspraxis leider häufig. Die 
Brisanz solcher Missstände wird uns lei- 
der immer erst dann deutlich vor Augen 
geführt, wenn es, etwa durch Cyberan- 
griffe, zu missbräuchlichen Zugriffen 
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auf die massenhaft gehorteten Daten 
gekommen ist. Aber auch ohne solch 
schwerwiegende Folgen haben wir es 
hierbei mit einem eklatanten Verstoß 
gegen die Grundsätze des Datenschut- 
zes zu tun.” Die Bußgeldentscheidung 
ist nicht rechtskräftig. Das Unterneh- 
men hat seinen Sitz in Berlin und be- 
treibt 165.500 Wohneinheiten und 
2.700 Gewerbeeinheiten. Die Deutsche 
Wohnen SE hat gegen den Bußgeldbe- 
scheid Einspruch eingelegt. 

Seitdem die Bußgeldvorschriften der 
DSGVO bekannt sind, wird in Deutsch- 
land eine Diskussion um die Höhe bzw. 
Erhöhung von Bußgeldern geführt. Die 
in der Vergangenheit von deutschen 
Aufsichtsbehörden verhängten Bußgel- 
der waren überschaubar. Laut Presse- 
meldungen aus dem Mai 2019 gab es 7 
Fälle in Baden-Württemberg mit einem 
Gesamtbußgeld von 203.000 EUR, 9 
Fälle in Rheinland-Pfalz mit einem Ge- 
samtbußgeld von 124.000 EUR, 18 Fäl- 
le in Berlin mit einem Gesamtbußgeld 
von 105.600 EUR, 2 Fälle in Hamburg 
mit einem Gesamtbußgeld von 25.000 
EUR, 36 Fälle in Nordrhein-Westfalen 
mit einem Gesamtbußgeld von 15.600 
EUR und 3 Fälle im Saarland mit einem 
Gesamtbußgeld von 590 EUR (s.o. die 
Meldungen zu Bußgeldern unter Bund 
und Bundesweit, Wilkens, Verstoß ge- 
gen DSGVO: Deutsche Wohnen soll 14,5 
Millionen Euro zahlen, www.heise.de 
05.11.2019, Kurzlink: https://heise. 
de/-4578269; Deutsche Wohnen wehrt 
sich, SZ 19.11.2019, 19). 


Berlin 


Smoltczyks Gesprächs- 
bedarf wegen Greta-DB- 
Dialog 


Ein reger Twitter-Dialog zwischen der 
Klimaaktivistin Greta Thunberg und 
der Deutschen Bahn veranlasste die 
Berliner Datenschutzbeauftragte Maja 
Smoltczyk, mit der Bahn über den Um- 
gang mit „personenbezogenen Reise- 
daten” zu sprechen. Das Thema solle 
unabhängig vom Einzelfall besprochen 
werden, sagte ein Sprecher Smoltcezyks. 
Weder lägen Beschwerden vor, noch sei 
ein Verfahren gegen das Unternehmen 
geplant: „Wir sehen es aber generell kri- 


tisch, wenn die Bahn Daten von Reisen- 
den veröffentlicht.” 

Eine Zugfahrt Thunbergs hatte am 
Wochenende des 3. Advent für Aufse- 
hen gesorgt. Die 16-Jährige hatte am 
Samstag bei Twitter ein Foto gepostet, 
das sie auf dem Boden sitzend zwischen 
Koffern in einem ICE zeigt. Dazu hatte 
sie geschrieben: „In überfüllten Zügen 
durch Deutschland. Und ich bin endlich 
auf dem Heimweg!” Sie war nach mona- 
telanger Reise auf dem Rückweg nach 
Schweden. Die Bahn twitterte darauf- 
hin, Greta sei im ICE 74 zwischen Kassel 
und Hamburg auch in der Ersten Klasse 
gereist und aufihrem Sitzplatz vom Zug- 
Team betreut worden. Thunberg erklär- 
te daraufhin, ihr Zug von Basel aus sei 
ausgefallen, weshalb sie im Anschluss 
in zwei Zügen auf dem Boden gesessen 
habe. Dann habe sie einen Sitzplatz er- 
halten. 

Die Deutsche Bahn erhalte aus den 
Buchungssystemen keine Fahrgastda- 
ten, erklärte eine Sprecherin zur An- 
kündigung der Berliner Datenschütze- 
rin. „Im vorliegenden Fall hat die DB 
auf Nachfrage von Journalisten mit dem 
Bordpersonal des Zuges gesprochen, 
mit dem Greta Thunberg fuhr.” Rechts- 
grundlage sei ein berechtigtes Unter- 
nehmensinteresse laut Datenschutz- 
Grundverordnung (Datenschutzbeauf- 
tragte klopft an, Fehde mit Thunberg 
verfolgt Deutsche Bahn, www.n-tv.de 
18.12.2019). 


Berlin 


Smoltczyk: „berlin.de” ver- 
letzt Datenschutz 


Berlins Datenschutzbeauftragte 
Maja Smoltczyk erhob am 09.12.2019 
im Berliner Abgeordnetenhaus schwe- 
re Vorwürfe gegen die Betreiberfirma 
des Hauptstadtportals berlin.de (Ber- 
lin Online). Die Firma gehört zu 74,8% 
dem Berliner Verlag (mit seinen neuen 
Eigentümern Silke und Holger Fried- 
rich) sowie zu 25,2% der landeseigenen 
Investitionsbank Berlin (IBB). Diese 
handle für das Land Berlin „rufschädi- 
gend” und aus Datenschutz-Perspektive 
„absolut inakzeptabel”. 

Smoltczyk reibt sich vor allem daran, 
dass Berlin Online Daten von Besuchern 


DANA ® Datenschutz Nachrichten 1/2020 


des deutschlandweit am häufigsten ge- 
klickten Stadtportals erhebe und verar- 
beite, ohne dass diese davon Kenntnis 
hätten oder einwilligten. Sie bezog sich 
damit auf Werbe-Tracker auf dem priva- 
ten Auftritt von Berlin Online mit einem 
Nachrichtenportal, wo die Betreiberfir- 
ma Banner schaltet. Diese Instrumen- 
te sammeln Daten von Nutzern, die zu 
Profilen verdichtet werden können und 
eine zielgerichtete Ansprache von Ver- 
brauchern ermöglichen sollen. 

Eine Studie des dänischen Dienstleis- 
ters Cookiebot hatte im März 2019 er- 
geben, dass etwa ein Übersichtsartikel 
zu Strategien gegen Alkoholsucht auf 
berlin.de Informationen über die Nut- 
zenden an 20 verschiedene Tracking- 
Domains lieferte. Smoltczyk teilte den 
Abgeordneten im Ausschuss für Kom- 
munikationstechnologie mit, dass sie 
die Datensammelpraxis auf dem Portal 
überprüfe. Es habe mehrere Beschwer- 
den über die Seite gegeben. Der Bundes- 
datenschutzbeauftragte Ulrich Kelber 
hatte angekündigt, dass die deutschen 
Aufsichtsbehörden bei Web-Tracking 
ohne informierte Einwilligung der Be- 
troffenen verstärkt „verwarnen, unter- 
sagen” und von Bußgeldern Gebrauch 
machen wollten. Smoltczyk bezeichnete 
es als bedenklich, dass Nutzer zwischen 
dem wirtschaftlich ausgerichteten Teil 
und dem für das Land Berlin bereit ge- 
stellten offiziellen öffentlichen Weban- 
gebot etwa mit Pressemitteilungen des 
Senats nicht unterscheiden könnten. 
Die Hoheit über die Verwendung eige- 
ner Daten gehe dem Besucher der Seite 
so verloren. 

Holger Friedrich hatte das Onlinepor- 
tal zuvor in einem Interview als den „ei- 
gentlichen Schatz unseres Deals” aus- 
gemacht. Die Seite solle „der Hebel, die 
zentrale Plattform“ werden, skizzierte 
der Internetunternehmer und Neu- 
Verleger die Pläne des Paars. Seine Frau 
ergänzte, dass die Betreiber dort „prin- 
zipiell jede Dienstleistung ausspielen” 
könnten. Über eine App mit Ausweis- 
prüfung und Abgleich der Steueriden- 
tifikationsnummer sollten nach den 
Vorstellungen der Friedrichs zahlreiche 
Bürgerdienste online angeboten wer- 
den. Der Senat betonte dagegen, den 
Vertrag mit Berlin Online bereits 2018 
gekündigt zu haben, also schon „bevor 
die neuen Eigentümer den Verlag über- 
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nommen haben“. Die Zusammenarbeit 
ende im Dezember 2021. Die IBB soll 
dann voraussichtlich die Betreiberfirma 
komplett übernehmen. 

Der Geschäftsführer von Berlin On- 
line, Olf Dziadek, hatte im Vorfeld der 
Ausschuss-Sitzung Vorwürfe unge- 
rechtfertigter Datenerhebungen zu- 
rückgewiesen. Abgeordnete von SPD, 
Linken und der oppositionellen CDU 
stellten dagegen selbst eine fortge- 
setzte Zusammenarbeit zwischen dem 
Land Berlin und dem Unternehmen bis 
zum Vertragsende in Frage. Das Portal 
müsse auf jeden Fall datenschutzkon- 
form betrieben werden (Krempl, Werbe- 
Tracking: Datenschutzbeauftragte prüft 
Landesportal berlin.de, www.heise.de 
10.12.2019, Kurzlink: https://heise. 
de/-4609895). 


Hamburg 


Transparenzgesetz 
verschlimmbessert 


Die Freie und Hansestadt Hamburg 
galt mit dem 2012 in Kraft getretenen 
Transparenzgesetz lange als Vorbild für 
Informationsfreiheit auch in anderen 
Bundesländern. Nun erhält dieses Image 
Kratzer mit einer Reform der Bestim- 
mungen für das „gläserne Rathaus”, die 
die Bürgerschaft der Hansestadt Mitte 
Dezember 2019 ohne weitere Aussprache 
mit den Stimmen der Regierungsfraktio- 
nen von SPD und Grünen sowie CDU und 
FDP beschlossen hat. Demnach sollen 
Ämter künftig Namen und Anschrift von 
Antragstellern auf Akteneinsicht gegen- 
über Betroffenen in einigen Bereichen 
offenlegen. Der ursprüngliche, von den 
Abgeordneten noch in einigen Punkten 
überarbeitete Entwurf des Senats war 
an diesem Punkt noch schärfer gefasst 
gewesen. Er sah bei Auskunftsanträgen, 
die personenbezogene Daten, Betriebs- 
und Geschäftsgeheimnisse oder „das 
geistige Eigentum Dritter“ berühren, 
eine Pflicht vor, auf Nachfrage Dritten 
gegenüber die Identität des Anfragen- 
den zu offenbaren. 

Gegen diese Initiative waren Bürger- 
rechtsorganisationen Sturm gelaufen, 
da sie Medienvertreter und die Presse- 
freiheit in Gefahr sahen. „FragdenStaat” 
warnte, dass so auch Daten von Journa- 


listen, die „Anfragen zu zwielichtigen 
Unternehmen oder Rechtsextremen an 
die Verwaltung stellen”, bei ebendie- 
sen landen könnten. Der investigative 
Reporter Jän Kuciak sei voriges Jahr in 
der Slowakei ermordet worden, nach- 
dem eine Behörde seine Adresse bei ei- 
ner Informationsanfrage weitergegeben 
habe. Der Hamburgische Informations- 
freiheitsbeauftragte Johannes Caspar 
bestätigte: „Hier ist absolute Vorsicht 
geboten. Es darf nicht sein, dass der An- 
fragende mit seinen Daten für die Aus- 
kunft bezahlen muss.” 

Mit den Korrekturen der Bürgerschaft 
obliegt esnun dem Ermessen der Behör- 
den, ob sie Namen und Anschrift eines 
Auskunftsersuchenden weitergeben. 
Dabei müssen sie auch prüfen, ob nicht 
das Interesse des Antragstellers an der 
Geheimhaltung seiner Identität über- 
wiegt. Appelle aus der Zivilgesellschaft 
oder von Caspar, mehr Transparenz für 
den öffentlich-rechtlichen Rundfunk in 
Norddeutschland zu schaffen oder die 
Ausnahme des gesamten Komplexes des 
Verfassungsschutzes von den Gesetzes- 
pflichten zu streichen, griffen der Senat 
und die Bürgerschaft nicht auf. Zudem 
entfällt die Anforderung an die Behör- 
den, die begehrten Informationen „un- 
verzüglich” zugänglich zu machen. Es 
greift so nur noch die allgemeine Frist 
von einem Monat. Sollten Dritte ange- 
hört werden müssen, besteht künftig 
wegen des damit verbundenen „erhöh- 
ten Zeitbedarfs” eine Verlängerungsop- 
tion von drei Monaten. 

Dazu kommt erstmals eine Ausnahme 
von der Informationspflicht, soweit und 
solange dieser etwa der Patent- oder 
Urheberrechtsschutz entgegenstehen. 
Die veröffentlichungspflichtige Stelle 
muss beim Beschaffen einschlägiger 
Informationen aber zumindest darauf 
hinwirken, „dass ihr die erforderlichen 
Nutzungsrechte eingeräumt werden“. 
Andererseits wird von Anfang 2021 an 
auch die mittelbare Staatsverwaltung, 
zu der etwa die Handelskammer oder 
die öffentlichen Hochschulen gehö- 
ren, wichtige Informationen von öf- 
fentlichem Belang verpflichtend in das 
Transparenzportal einstellen müssen. 
Gerichte hatten diese Bereiche öffentli- 
chen Rechts nach Klagen u.a. des Chaos 
Computer Clubs (CCC) bislang außen vor 
gelassen. Die Parlamentarier forderten 
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zudem den Senat auf, das Transparenz- 
portal übersichtlicher zu gestalten und 
die Bürger mit einer öffentlichen Kam- 
pagne noch stärker auf das Angebot 
aufmerksam zu machen. 

Caspar begrüßte bei der Präsentati- 
on seines Tätigkeitsberichts Informa- 
tionsfreiheit für 2018/19, dass Bürger 
mittlerweile „in erheblichem Maße” 
ihre Rechte auf Akteneinsicht nutzten 
und „die Ablehnung von Anträgen auf 
Veröffentlichung oder auf Auskunfts- 
erteilung nicht mehr einfach hinneh- 
men”. Sie riefen immer öfter die Verwal- 
tungsgerichte an, was zu einer größe- 
ren Rechtssicherheit führe. Die Richter 
schlügen dabei teils „Breschen in das 
Ablehnungsdickicht”. Insgesamt sei 
der Einsatz für mehr Transparenz in der 
Verwaltung, der demokratisch-rechts- 
staatliche Prozesse beflügele, „ein er- 
folgreicher, aber auch sehr steiniger 
Weg“ (Krempl, Hamburg: Bürgerschaft 
verschlimmbessert Transparenzgesetz, 
www.heise.de 23.12.2019, Kurzlink: 
https://heise.de/-4623118) 


Hessen 


Mit aktivAPP und reha score 
gegen Arbeitslosigkeit 


Die Kommunalen Jobcenter der Kreise 
Offenbach und Main-Taunus sowie der 
Stadt Offenbach wollen künftig Hartz- 
IV-Empfängern helfen, erwerbsfähig zu 
bleiben und starten gemeinsam ab Ja- 
nuar 2020 das Pilotprojekt „Kooperation 
für Prävention, Fitness und Gesundheit 
im Jobcenter” (KOPF22). Das Projekt 
soll nach Angaben der Sozialdezernen- 
ten Carsten Müller (Kreis Offenbach), 
Sabine Groß (Stadt Offenbach) sowie Jo- 
hannes Baron (Main Taunus-Kreis) dazu 
beitragen, die Gefahr, dass eine Per- 
son ihre Erwerbsfähigkeit mittel- oder 
langfristig verliert, besser abzuschät- 
zen und zu reduzieren. Im Mittelpunkt 
stehen Männer und Frauen mit einem 
beginnenden Handicap und Menschen 
mit gesundheitlichen Einschränkun- 
gen. Carsten Müller: „Für sie sollen neue 
Beschäftigungschancen eröffnet wer- 
den, indem die Jobcenter neue Ansätze 
zur Unterstützung und zum Erhalt der 
Erwerbsfähigkeit über einen längeren 
Zeitraum erproben und auswerten.” 
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Ein zentraler Bestandteil des Projek- 
tes ist die Entwicklung einer „aktivAPP”. 
Mitihr erfassen Langzeitarbeitslose per- 
sönliche Daten zu ihren individuellen 
Lebensbedingungen, woraus die App 
einen Wert berechnet; den sogenannten 
„reha score”. Dieser Score soll angeben, 
ob und wie stark die Erwerbsfähigkeit 
eines Menschen bereits gefährdet ist. 
Aus den Ergebnissen werden maßge- 
schneiderte Förderstrategien abgelei- 
tet, um die Arbeitsfähigkeit des Ein- 
zelnen zu erhalten und zu stärken. Die 
jeweiligen Daten, aus denen sich der 
„reha score” berechnet, bleiben, so die 
Mitteilung „anonym“. 

Die Kooperation der Jobcenter mit 
Akteuren aus dem Bereich der medizi- 
nischen und beruflichen Rehabilitation 
soll zudem verbessert und die Zahl der 
Betroffenen, die eine Erwerbsminde- 
rungsrente, Eingliederungshilfen oder 
Sozialhilfe beziehen, nachhaltig ge- 
senkt werden. Dabei gelte es, vor allem 
die Gesundheit sowie die körperliche 
Fitness des Einzelnen entscheidend zu 
verbessern, aber auch Menschen aus 
einem „mentalen Loch” zu holen, unter- 
streichen die Sozialdezernenten. Dafür 
arbeiten die drei beteiligten Jobcenter 
bei dem Gemeinschaftsprojekt KOPF22 
eng mit Ärzten und anderen Experten 
aus dem Gesundheitssystem zusammen. 
Das Projekt forciere damit auch eine en- 
gere Verzahnung von Arbeitsmarkt und 
Gesundheitssystem. 

KOPF?22 ist eins von 61 Modellvorha- 
ben im Rahmen des Bundesteilhabege- 
setzes, mit denen Jobcenter und Träger 
der gesetzlichen Rentenversicherung 
innovative Instrumente zur Stärkung 
der Rehabilitation entwickeln. Ab Ja- 
nuar 2020 wird das Projekt für die Dauer 
von vier Jahren durch das Bundespro- 
gramm „Innovative Wege zur Teilhabe 
am Arbeitsleben” (rehapro) gefördert. 
Sabine Groß: „Die gewonnenen Er- 
kenntnisse und Erfahrungen sollen die 
Förderstruktur nachhaltig verbessern 
und so die Chancen von Langzeitar- 
beitslosen mit einem Handicap oder 
krankheitsbedingten Einschränkungen 
auf einen sozialversicherungspflichti- 
gen Job und gesellschaftlichen Teilhabe 
erhöhen.” Zur Umsetzung des Bundes- 
programms „rehapro” stehen bis 2026 
insgesamt rund eine Milliarde Euro zur 
Verfügung. Die einzelnen Modellprojek- 


te können bis zu fünf Jahre gefördert 
werden (Erwerbsfähigkeit erhalten: 
Pro Arbeit und die Jobcenter der Stadt 
Offenbach sowie des Main-Taunus- 
Kreises starten Pilotprojekt, www.kreis- 
offenbach.de 13.12.2019). 


Niedersachsen 


Umstrittenes Polizeigesetz 
muss nachgebessert 
werden 


Der Niedersächsische Landtag musste 
sich in seiner letzten Plenarsitzung vor 
Weihnachten 2019 mit dem nachlangem 
Tauziehen erst im Mai 2019 beschlos- 
senen Polizeigesetz befassen. Wegen 
eines Urteils des Bundesverfassungs- 
gerichts müssen Passagen im Gesetz zur 
automatischen Kennzeichenerfassung 
und zur Schleierfahndung nachgebes- 
sert werden (DANA 2/2019, 108 ff.). In 
dem Bundesland war über das Gesetz 
lange und kontrovers diskutiert worden 
(DANA 1/2018, 26 ff., 4/2018, 200 f.). 
Zwar gab es an der Notwendigkeit einer 
Gesetzesreform keine grundsätzlichen 
Zweifel. Völlig umstritten war jedoch, 
wie weit Behörden in die Privatsphäre 
von Bürgern eingreifen dürfen. Eine 
zunächst von Rot-Grün vorbereitete 
Gesetzesnovelle war nach einer völli- 
gen Überarbeitung von der SPD/CDU- 
Mehrheit beschlossen worden (DANA 
3/2019, 155). 

Die Polizei war zwischenzeitlich mit 
der Einführung von Körperkameras 
für Streifenbeamte oder mit Strecken- 
radars gegen Raser vorgeprescht. Mit 
dem Gesetz gibt es dafür nun rechtli- 
che Grundlagen. Das bei Hannover in- 
stallierte bundesweit erste Pilotprojekt 
zur „Section Control” musste auf eine 
Klage hin zunächst außer Betrieb ge- 
nommen werden (DANA 2/2019, 110). 
Erst nach Verabschiedung des Gesetzes 
gab es grünes Licht vom Gericht. Und 
die Bodycams, die Beamte in potenziel- 
len Konfliktlagen einschalten können, 
durften zunächst nur Bilder und keinen 
Ton aufnehmen, sind aber nun mit dem 
neuen Gesetz vollin Betrieb. 

Die Landesdatenschutzbeauftrag- 
te Barbara Thiel lobte zwar so manche 
Nachbesserung im Gesetzesverfahren 
und das Beseitigen von aus ihrer Sicht 
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verfassungswidrigen Praktiken bei der 
Polizei. Doch kritisiert sie weiterhin 
den Betrieb der polizeilichen Telekom- 
munikationsüberwachung (TKÜ). Die 
Eingriffsschwelle für viele polizeiliche 
Maßnahmen sei ohne stichhaltige Be- 
gründung herabgesetzt worden. Schon 
im Vorfeld einer konkreten Gefahren- 
lage könne die Polizei zu einer Online- 
Durchsuchung oder einer elektroni- 
schen Fußfessel greifen. 

Nach wie vor wirft die Opposition der 
Regierung vor, ein nicht auf seine Ver- 
fassungsmäßigkeit überprüftes Gesetz 
beschlossen zu haben. Die mehrfache 
Ankündigung, den Staatsgerichtshof 
mit einer Prüfung zu beauftragen, schei- 
terte am Unwillen von FDP und Grünen, 
einen gemeinsamen Antrag mit der AfD 
einzureichen. Die beiden Parteien allei- 
ne kommen nicht auf die erforderliche 
Mindestanzahl von 20% der Abgeord- 
neten. Die Parlamentarier von SPD und 
CDU lehnten es ab, das selbst beschlos- 
sene Gesetz in Frage zu stellen. Die von 
der AfD inzwischen alleine eingereichte 
Verfassungsklage wird mangels Unter- 
stützung der anderen Parteien erfolglos 
bleiben. 

Auch die Sicherheitsbehörden, deren 
Arbeit das neue Gesetz erleichtern soll, 
sind nicht zufrieden. Der Leiter der für 
Extremismusbekämpfung zuständigen 
Generalstaatsanwaltschaft Celle, Frank 
Lüttig, forderte den Abbau formaler 
und technischer Hürden bei der Online- 
Durchsuchung. Trotz der mit dem Poli- 
zeigesetz geschaffenen Möglichkeiten 
dazu seien Fahnder in der Praxis weiter 
auf ausländische Nachrichtendienste 
und deren Einsatz von Trojanern ange- 
wiesen: „Wir haben die Online-Durch- 
suchung im Gesetz, aber die Hürden 
sind zu hoch. Da sich alles im virtuellen 
Raum abspielt, brauchen wir funktions- 
fähige Online-Infiltrationsmöglichkei- 
ten.” Das Landeskriminalamt forder- 
te, dass Telekommunikationsanbieter 
verpflichtet werden können, Inhalte 
unverschlüsselt zu übermitteln. Stand- 
ortinformationen von Handynutzern 
müssten durchgängig verfügbar sein. 
Provider müssten zudem zur Mitwirkung 
bei polizeilichen Maßnahmen verpflich- 
tet werden, so eine Sprecherin: „Dieser 
Regelungsbedarf wird als erforderlich 
angesehen, um mittels Telekommuni- 
kationsüberwachungen auch zukünftig 
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entsprechend schwerwiegenden Gefah- 
ren begegnen und schwerste Straftaten 
verfolgen zu können” (Evers, Nieder- 
sachsen: Umstrittenes Polizeigesetz 
muss angepasst werden, www.heise.de 
08.12.2019, Kurzlink: https://heise. 
de/-4608113). 


Rheinland-Pfalz 


DSGVO-Bußgeld in Höhe 
von 105.000 € gegen 
Krankenhaus 


Der rheinland-pfälzische Daten- 
schutzbeauftragte Dieter Kugelmann 
teilte am 02.12.2019 mit, dass ein von 
ihm gegen ein Krankenhaus verhäng- 
tes Bußgeld in Höhe von 105.000 Euro 
wegen mehrerer Verstöße gegen die 
Datenschutz-Grundverordnung (DS- 
GVO) von diesem akzeptiert worden 
sei. Die Datenschutzverletzungen sei- 
en nach einer „Patientenverwechslung 
bei der Aufnahme“ offenbar geworden. 
Daraufhin habe das Krankenhaus auch 
eine falsche Rechnung ausgestellt, was 
„strukturelle technische und organi- 
satorische Defizite beim Patientenma- 
nagement” offenbart habe. Kugelmann 
begrüßte zugleich die Bemühungen 
des Krankenhauses, sein Datenschutz- 
management fortzuentwickeln und 
zu verbessern: „Mir kommt es darauf 
an, dass mit Blick auf die besondere 
Sensibilität der Daten beim Gesund- 
heitsdatenschutz substanzielle Fort- 
schritte erzielt werden“. Er wolle mit 
der Geldbuße ein Signal senden, „dass 
die Datenschutzaufsichtsbehörden auf 
dem Feld des Umgangs mit Daten im 
Gesundheitswesen besondere Wach- 
samkeit an den Tag legen” (Krempl, DS- 
GVO-Verstoß: Krankenhaus in Rhein- 
land-Pfalz muss 105.000 Euro zahlen, 
www.heise.de 04.12.2019, Kurzlink: 
https://heise.de/-4604348). 


Thüringen 


Datenschutz-Hausdurchsu- 
chung bei Drohnenpiloten 


Polizeibeamte haben auf Veranlas- 
sung des Landesdatenschutzbeauftrag- 
ten von Thüringen Lutz Hasse die Woh- 


nung eines Drohnenbesitzers durch- 
sucht. Bei der Aktion am 12.11.2019 
wurden Datenträger beschlagnahmt. 
Hasse erklärte, es habe „akuter Hand- 
lungsbedarf” bestanden. Ein Nachbar 
des Drohnenbesitzers hatte sich be- 
schwert, dass dieser in den Abendstun- 
den immer wieder eine Drohne fliegen 
lasse. Laut dem Hinweisgeber habe der 
Pilot nicht permanent Sichtkontakt ge- 
habt, was darauf schließen lasse, dass 
er das Fluggerät mit einem Videomo- 
nitor steuere. Da die Drohne auch über 
andere Gärten fliege und sie dabei in die 
Nähe von Schlafzimmerfenstern kom- 
me, hielt Hasse „eine massive Beein- 
trächtigung der Rechte und Freiheiten” 
der Nachbarn für wahrscheinlich. 

Der Datenschützer beantragte einen 
Durchsuchungsbeschluss beim zu- 
ständigen Amtsgericht in Erfurt, dem 
dieses stattgab. Die Ordnungshüter be- 
schlagnahmten bei der Durchsuchung 
Speichermedien, auf denen sich der 
Aufsichtsbehörde zufolge „mutmaß- 
lich Videoaufzeichnungen mit perso- 
nenbeziehbaren Daten befinden“. Die 
Drohne selbst konnten die Beamten 
nicht beschlagnahmen. Hasse will die 
Datenträger auswerten lassen und dann 
entscheiden, ob der Drohnenflieger eine 
Ordnungswidrigkeit begangen hat, für 
die ein Bußgeld fällig wird. Die Daten- 
schutz-Grundverordnung (DSGVO) sieht 
vor, dass solche Sanktionen „wirksam, 
verhältnismäßig und abschreckend” 
sein sollen. 

Der Datenschützer erklärte, dass die 
Entscheidung für die Hausdurchsu- 
chung wegen des grundrechtlich ga- 
rantierten Rechts auf Unverletzlichkeit 
der Wohnung nicht leichtgefallen sei. 
Der Gesetzgeber hat eine Hausdurch- 
suchung grundsätzlich auch für Ord- 
nungswidrigkeitenverfahren vorge- 
sehen. Das Gericht wäge in einem sol- 
chen Fall aber zwischen dem durch die 
Maßnahme beeinträchtigten Grund- 
recht und dem Verfolgungsinteresse 
des Staates ab. Im vorliegenden Fall 
hätten „konkrete Tatsachen zur Ver- 
letzung der Privatsphäre” Betroffener 
vorgelegen, „die den Anfangsverdacht 
wesentlich überstiegen“ (Krempl, Da- 
tenschutz: Hausdurchsuchung bei 
Thüringer Drohnenpiloten, www.heise. 
de 14.11.2019, Kurzlink: https://hei- 
se.de/-4586491) 
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Datenschutznachrichten aus dem Ausland 


Weltweit 


Patienten-Bilddaten unge- 
schützt im Netz 


Gemäß Medienberichten waren sen- 
sible medizinische Daten von weltweit 
mehreren Millionen Patientinnen und 
Patienten auf offen zugänglichen Ser- 
vern im Netz gelandet. In Deutsch- 
land seien mehr als 13.000 Datensätze 
betroffen, in mehr als der Hälfte sind 
auch medizinische Bilder wie Brust- 
krebsscreenings, Wirbelsäulenbilder 
und Röntgenaufnahmen enthalten. Die 
Daten seien bis Mitte September 2019 
zugänglich gewesen und stammten 
von mindestens fünf verschiedenen 
Serverstandorten. Der größte Teil der 
deutschen Datensätze entfalle auf Pa- 
tienten aus dem Raum Ingolstadt und 
aus Kempen in Nordrhein-Westfalen. 

Gemäß den Recherchen lagen die 
Bilder und andere Patientendaten, 
insgesamt ca. 16 Millionen Datensät- 
ze, aus rund 50 Ländern von Brasilien 
über die Türkei bis Indien auf ungesi- 
cherten Servern offen im Netz. Beson- 
ders betroffen seien Patienten aus den 
USA, wo gemäß dem Bericht „allein bei 
einem einzelnen Anbieter für radiolo- 
gische Untersuchungen ... nach einer 
Auswertung von ProPublica mehr als 
eine Million Datensätze von Patien- 
ten” vorlagen. Es habe sich nicht um 
ein einzelnes großes Datenleck gehan- 
delt, sondern um eine Vielzahl von un- 
geschützten Servern. Der Experte für 
Informationssicherheit Dirk Schrader 
habe weltweit mehr als 2.300 Rechner 
gefunden, auf denen die Datensätze of- 
fen lagen. 

Das Bundesamt für Sicherheit in der 
Informationstechnik (BSI) wurde von 
IT-Sicherheitsforschern darüber infor- 
miert und hat gemäß eigenen Angaben 
die betroffenen Einrichtungen davon 
in Kenntnis gesetzt. Es lägen keine Er- 
kenntnisse vor, dass die Daten tatsäch- 
lich in krimineller Absicht abgeflossen 
sind. 

Bei den Daten handelte es sich oft 
um Bilder, die von Magnetresonanzto- 
mographie-Untersuchungen stammen 
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(MRT). Diese Bilder würden von den 
Geräten auf einen speziellen Server ge- 
schickt. Das System werde für die Bild- 
archivierung verwendet, ein „Picture 
Archiving and Communication System” 
(PACS). Auch Röntgenaufnahmen und 
Bilder aus der Computertomographie 
landeten auf diesen Servern. 

Der Bundesbeauftragte für Daten- 
schutz Ulrich Kelber sprach von einem 
„verheerenden Eindruck“. Nach jetzi- 
gem Kenntnisstand seien in Deutsch- 
land zwei Krankenhäuser betroffen. Es 
müsse nun geklärt werden, ob mög- 
licherweise auch Drittanbieter in der 
Verantwortung stehen. Es sei nicht 
ausgeschlossen, dass es hohe Bußgel- 
der geben werde. Bundesgesundheits- 
minister Jens Spahn mahnte höchste 
Datenschutzvorkehrungen in der ge- 
samten Branche an: „Wir müssen noch 
stärker alleim Gesundheitswesen dafür 
sensibilisieren, wie wichtig Datensi- 
cherheit ist.” Dies gelte für jede ein- 
zelne Arztpraxis, jede Apotheke, jedes 
Krankenhaus und für Dienstleister. Da- 
bei sei auch sicherzustellen, dass Ser- 
ver gesichert seien. Dies sei in diesem 
Fall offenkundig nicht so gewesen und 
müsse abgestellt werden. 

Die Patientenbeauftragte der Bun- 
desregierung Claudia Schmidtke hat 
Krankenhäuser und Arztpraxen zum 
besseren Schutz von Patientendaten 
aufgefordert. Der Skandal um ungesi- 
cherte Informationen über Patienten 
lege den Schluss nahe, dass Gesund- 
heitsanbieter „minimale Standards bei 
der Absicherung ihrer Daten nicht ein- 
gehalten” hätten. „Das darfnicht sein!” 
Patienten hätten „ein Recht darauf, 
dass ihre Daten bestmöglich vor einem 
unrechtmäßigen Zugriff Fremder ge- 
schützt werden”. Nötig seien einheitli- 
che Datenschutzstandards, verschärfte 
Haftungsregelungen und die Berück- 
sichtigung von Patientenrechten bei 
der Digitalisierung von Versorgungs- 
leistungen. Schmidtke forderte alle 
Akteure im Gesundheitswesen auf, „die 
Patientenrechte und die Patientensi- 
cherheit für das digitale Zeitalter fit zu 
machen”. Ohne das Vertrauen der Pati- 
enten werde es keine Digitalisierung im 


Gesundheitswesen geben. Dabei biete 
die Digitalisierung „immense Vorteile” 
im Gesundheitssystem. So könne die 
Digitalisierung durch neue Erkenntnis- 
se über Krankheiten oder durch indivi- 
dualisierte Behandlungsoptionen die 
Patientenversorgung verbessern. 

Maria Klein-Schmeink, gesundheits- 
politische Sprecherin der Bundestags- 
fraktion der Grünen, verlangte ange- 
sichts der Vorfälle, dass dem Schutz 
der sensiblen Gesundheitsdaten eine 
größere Aufmerksamkeit gewidmet 
werden müsse. „Datenschutz und Da- 
tensicherheit müssen in unserem Ge- 
sundheitswesen so selbstverständlich 
werden wie Händewaschen”, sagte 
sie. Die Fälle müssten jetzt genau auf- 
geklärt werden. „Wir müssen wissen, 
ob es sich um individuelle Fehler oder 
eine fehlerhafte Soft- oder Hardware 
handelt. Es muss geprüft werden, ob es 
bei der Zulassung und Überwachung 
solcher Medizinprodukte Lücken gibt, 
die solche Pannen ermöglichen.” Not- 
wendig sei außerdem, dass die Daten- 
schutzbehörden besser ausgestattet 
würden, um schnell und vielleicht so- 
gar präventiv auf solche Vorkommnisse 
reagieren zu können. „Gerade in den 
sogenannten Primärsystemen in Kran- 
kenhäusern liegt noch manches im Ar- 
gen. Hier sind erhebliche Investitionen 
nötig. Bund und Länder müssen daher 
zügig die Investitionsfinanzierung für 
Krankenhäuser reformieren.” 

Der SPD-Gesundheitspolitiker Karl 
Lauterbach forderte hohe Strafen bei 
Datenlecks in Krankenhäusern. Die 
Kliniken müssten ein zertifiziertes Da- 
tenschutzkonzept vorlegen. Der Lin- 
ken-Gesundheitspolitiker Achim Kess- 
ler forderte Spahn auf, das Recht der 
Patienten „auf Schutz ihrer Daten ins 
Zentrum stellen, statt die Interessen 
der Digitalkonzerne durchzusetzen”. 

Monika Buchalik, Vizepräsiden- 
tin der Landesärztekammer Hessen 
bezeichnete das publik gewordene, 
vermutliche Patientendatenleck als 
Skandal. Dieses sei eine Katastrophe, 
da es das Vertrauen in den Umgang 
mit hochsensiblen Patientendaten er- 
schüttere. Zugleich mache es deutlich, 
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dass veraltete digitale Sicherungs- 
systeme schleunigst abgelöst werden 
müssten bzw. vorhandene, gute digita- 
le Sicherungssysteme auch richtig ein- 
gesetzt werden müssten, um die Daten- 
sicherheit zu gewährleisten. Buchalik 
forderte die Krankenkassen außerdem 
auf, auch die Kosten für die Siche- 
rungssysteme zu übernehmen, die in 
Praxen und Kliniken durch die IT-An- 
bindung entstehen. Edgar Pinkowski, 
Präsident der Landesärztekammer Hes- 
sen und Vorsitzender des Ausschusses 
„Patientensicherheit” bei der Bundes- 
ärztekammer, betonte, dass die Digita- 
lisierung des Gesundheitswesens und 
die damit einhergehende Frage der Da- 
tensicherheit und des Datenschutzes 
in der kommenden Dekade eine zent- 
rale Frage der Patientensicherheit sein 
werde (Auf Servern lagerten Millionen 
Patientendaten offenbar ungeschützt, 
aerzteblatt.de 17.09.2019). 


Weltweit 


Datenschutzaufsichtsbe- 
hörden vereinbaren engere 
Kooperation 


Die Internationale Datenschutzkon- 
ferenz (IDSK) Ende Oktober 2019 in 
Tirana hat eine Arbeitsgruppe (Policy 
Strategy Working Group) eingesetzt, die 
Vorgaben für den Erhalt der Privatsphäre 
weltweit stärker vereinheitlichen soll. 
Die Vertreter von rund 120 einschlägi- 
gen Aufsichtsämtern aus mehr als 80 
Ländern haben sich beim Jahrestreffen 
darauf verständigt, künftig noch stär- 
ker zu kooperieren, globale Standards 
zu setzen und das Verhältnis zwischen 
dem Recht auf informationelle Selbst- 
bestimmung und anderen Grundrechten 
besser auszuleuchten. 

Der Bundesdatenschutzbeauftrag- 
te Ulrich Kelber begrüßte den Schritt: 
„Die Digitalisierung sorgt dafür, dass 
Daten mittlerweile weltweit mitein- 
ander verbunden und abrufbar sind. 
Daher muss auch der Datenschutz 
grenzübergreifend eine Garantie zur 
Wahrung der essenziellen Grundrechte 
darstellen.” In Europa habe die Politik 
mit der Datenschutz-Grundverordnung 
(DSGVO) hierzu bereits einen ersten 
Schritt getan. Die IDSK gehe diesen 
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Weg nun konsequent weiter. Die Konfe- 
renz strebt laut Kelber für die Zukunft 
eine festere Struktur an, um neben 
dem jährlichen Treffen eine ständige 
Zusammenarbeit ihrer Mitglieder zu 
erleichtern. Dies sei ein Grund dafür 
gewesen, die IDSK in „Global Privacy 
Assembly” umzubenennen. Strategisch 
habe sich die Versammlung bis 2021 als 
Schwerpunkte Künstliche Intelligenz 
(KT) und besondere datenschutzrecht- 
liche Anforderungen für den Schutz 
von Minderjährigen gesetzt. 

Das Gremium verabschiedete mehrere 
Entschließungen, u.a. eine „zur Bedeu- 
tung des Datenschutzes als Grundrecht“. 
Darin appellieren die Kontrolleure an die 
Regierungen weltweit, die Sicherung 
der Privatheit als Menschenrecht anzu- 
erkennen und in nationalen Gesetzen zu 
verankern. Darüber hinaus fordern sie 
Unternehmen auf, nachweisbar Verant- 
wortung für den Datenschutz und wei- 
tere Grundrechte zu übernehmen. Eine 
weitere Entschließung befasst sich mit 
sozialen Medien und gewalthaltigen ex- 
tremistischen Inhalten. Die IDSK drängt 
damit die Betreiber sozialer Netzwerke, 
ihre Dienste und die Daten ihrer Nutzer 
vor Missbrauch zu bewahren. Zugleich 
müssten sie die Verbreitung terroristi- 
scher und extremistischer Botschaften 
stoppen, ohne dabei die Meinungsfrei- 
heit aus den Augen zu verlieren. Dies 
gelte auch für die parallel geforderten 
Bemühungen, einschlägige Propaganda 
und Gewaltaufrufe als solche zu identi- 
fizieren und dagegen vorzugehen. 

Die Plattformen sollten die zuständi- 
gen Strafverfolgungsbehörden über sol- 
che Funde und die eingeleiteten Schrit- 
te, sie zu löschen, informieren, heißt 
es in der Resolution. Dabei müssten 
die Rechtsstaatlichkeit und die Men- 
schenrechte eingehalten werden. Netz- 
werkanbieter sollen zudem klare Regeln 
aufstellen, welche Inhalte sie als ter- 
roristisch oder in anderer Hinsicht als 
rechtswidrig ansehen. Nutzenden müs- 
se klar sein, welchen Content sie posten 
dürften. Die Aufsichtsbehörden geben 
auch Hinweise dazu, wie sich mensch- 
liche Fehler im Vorfeld oder im Umgang 
mit Datenpannen vermeiden lassen 
(Krempl, Aufsichtsbehörden: Globale 
Standards für Datenschutz und gegen 
Online-Hass, www.heise.de 26.10.2019; 
Kurzlink: https://heise.de/-4569825). 


Weltweit 


Tiktok zwischen Hype, 
Zensur- und Datenschutz- 
vorwürfen 


Die US-Regierung lässt die erfolg- 
reiche chinesische App Tiktok auf eine 
mögliche Gefährdung der nationalen 
Sicherheit hin untersuchen. Zwei Jah- 
re nach dem Verkauf des US-Start-ups 
Musical.ly, dem wegen Verletzung des 
Kinderdatenschutzes von der FIC ein 
Bußgeld von 5,7 Mio. US-Dollar aufer- 
legt worden war (vgl. DANA 3/2019, 
165), an die chinesische Firma Byte- 
dance prüft eine Kommission für aus- 
ländische Investitionen in den USA die 
Übernahme. Dabei gehe es auch um die 
angebliche Weitergabe von Daten an Be- 
hörden in China. Bytedance hatte dem- 
nach bei der Übernahme zugesagt, Mu- 
sical.ly separat von seinen chinesischen 
Apps weiter zu betreiben. Ein Jahr spä- 
ter wurde das amerikanische Angebot 
jedoch in den Dienst Tiktok integriert. 
Ein Bytedance-Sprecher erklärte, das 
Vertrauen der Nutzenden und Behörden 
in den Vereinigten Staaten habe für das 
Unternehmen oberste Priorität. Tiktok 
sende keine Nutzerdaten nach China. 

Tiktok ist die erste App eines chine- 
sischen Anbieters, die weltweit zum 
Erfolg geworden ist. Genutzt wird die 
Anwendung vor allem von Teenagern. 
Das Prinzip ist simpel: Man zeichnet mit 
dem Smartphone ein Video auf und lädt 
es hoch, maximal 15 Sekunden dürfen 
die Aufnahmen lang sein - verdichtetes 
Youtube also. Sobald man Tiktok star- 
tet, beginnt im Hintergrund künstliche 
Intelligenz zu arbeiten, schon nach 
wenigen Videos, die man zu sehen be- 
kommen hat, hat die App die Interessen 
ausgewertet und blendet zielsicher nur 
noch für den Nutzer relevante Clips ein. 
Jugendliche verbringen so Stunden mit 
Tiktok, hangeln sich von einem Video 
zum nächsten. 

Alleine in den USA soll Tiktok bereits 
etwa 110 Millionen Mal heruntergeladen 
worden sein (in China 500 Mio.). Die ak- 
tuelle Bewertung von Bytedance liegt 
- auch deshalb - seit der letzten Inves- 
torenrunde bei sagenhaften 78 Milliar- 
den US-Dollar und ist damit das höchst- 
bewertete Start-up weltweit. Einem 
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internen Dokument zufolge sind rund 
800 Millionen Nutzende registriert, in 
Deutschland 5,5 Millionen mit rasant 
steigender Tendenz. Mit 711 Mio. Down- 
loads weltweit liegt Tiktok 2019 vor Fa- 
cebook (659 Mio.) und Instagram (423 
Mio.). Esist damit das erste sog. soziale 
Netzwerk, das Facebook (Weltweit 1,9 
Mrd. aktive Nutzende) und Instagram (1 
Mrd. Nutzende) ernsthaft Konkurrenz 
machen könnte. Tiktok wächst schnel- 
ler als jedes andere Netzwerk und findet 
insbesondere bei Kindern Anklang. 

Die jüngste Prüfung wurde von Be- 
schwerden im amerikanischen Kongress 
ausgelöst. Der demokratische Senator 
Chuck Schumer und der Republikaner 
Tom Cotton hatten den US-Geheim- 
dienstkoordinator (DNI) Ende Oktober 
2019 zur Einleitung einer Untersuchung 
aufgefordert. Die Senatoren forderten, 
dass die Experten „eine Einschätzung 
der Gefährdung der nationalen Sicher- 
heit durch Tiktok und andere Plattfor- 
men in chinesischer Hand in den USA” 
abgeben. Obwohl Tiktok nicht in China 
erhältlich sei, müsse Bytedance den 
chinesischen Gesetzen Folge leisten, 
inklusive der Unterstützung der Ge- 
heimdienste. Dies könne ein mögliches 
Einfalltor für chinesische Spionage sein, 
hieß es. 

Tiktok war auch kritisiert worden, 
weil kaum Aufnahmen der Proteste in 
Hongkong zu sehen waren. Zunächst 
hatte die Plattform das millionenfach 
aufgerufene Video einer Nutzerin ge- 
löscht, die die Verfolgung muslimischer 
Uiguren in China anprangerte - wegen 
einer Verletzung der Richtlinien. An- 
schließend entschuldigte sich Tiktok 
für den Schritt und teilte mit, der Clip 
sei aufgrund eines „menschlichen Feh- 
lers” vorübergehend entfernt worden 
und schnell wieder verfügbar gewesen. 
Netzpolitik.org legte offen, dass Tiktok 
laut internen Dokumenten Videos von 
Nutzerinnen und Nutzern mit Behinde- 
rung sowie dicken oder queeren Men- 
schen verstecken, also in ihrer Reich- 
weite beschränken soll. In den Modera- 
tionsregeln der Plattform wird das dem- 
nach als Schutzmaßnahme deklariert: 
Man müsse annehmen, dass es sich um 
Leute handle, bei denen man „auf Basis 
ihrer physischen oder mentalen Verfas- 
sung” davon ausgehen müsse, dass sie 
zum Ziel von Mobbing würden. Mark 
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Zuckerberg, der Chef des Konkurrenten 
Facebook, der auch Instagram betreibt, 
warf Tiktok daher Zensur vor, die in den 
USA zu spüren sei. Die Firma wies den 
Vorwurf zurück. 

Offiziell soll Tiktok erst ab einem Alter 
von 13 Jahren genutzt werden. Doch Vi- 
deos gucken kann man auch ohne An- 
meldung und Altersangabe. Laut einer 
Umfrage nutzt in Deutschland ein Vier- 
tel der 10- bis 13-Jährigen die App. Die 
App verlangt zwar keine Anmeldung. 
Anonym ist man dort dennoch nicht un- 
terwegs: Auffastjedem Smartphone gibt 
es Identifikationsnummern, dievon den 
Apps ausgelesen werden. Meist sind es 
die Werbe-IDs von Google oder Apple. So 
wird der unangemeldete Nutzer zu einer 
Nummer, Tiktok enthält zudem die Soft- 
ware anderer Unternehmen, die auf die 
Analyse von Nutzerverhalten im Netz 
spezialisiert sind: Facebook und Apps- 
flyer. Diese Firmen erhalten ständig 
Daten von der App: etwa Start und Ende 
der Nutzung, jedes angeschaute Video, 
die abonnierten Kanäle. In Tiktok ein- 
gegebene Suchbegriffe landen mit der 
Werbe-ID bei Facebook und können ei- 
nem Facebook-Nutzer zugeordnet wer- 
den. Aus diesen zentral angereicherten 
Daten aller genutzten Apps kann man 
über die Zeit statistische Vorhersagen 
erstellen: Wohlstand, Lieblingsschuh- 
marke, politische Gesinnung. 

Der juristische Datenschutz-Experte 
Malte Engeler bezweifelt die Rechtmä- 
Rigkeit des Angebots in Europa: Zum 
einen fehle bisher die nötige Transpa- 
renz, um zu erkennen, an wen die Da- 
ten nach der Weitergabe an Appsflyer 
gehen. Bytedance erklärte, dass die 
Datenweitergabe in den Datenschutz- 
bestimmungen erläutert sei, aber über 
vertragliche Details keine Auskunft 
gegeben werden könne. Noch schwe- 
rer wiegt für Engeler aber die Übertra- 
gung der Nutzerdaten ins Ausland. Der 
Standort der Server, auf denen die Da- 
ten lagern (Japan und USA) sei zweit- 
rangig. Entscheidend sei, wo der Sitz 
der Firma ist, die tatsächlich über die 
Daten bestimmt. Appsflyer sitzt nahe 
Tel Aviv, Bytedance in Peking: „In Chi- 
na muss man mit dem unbeschränktem 
und anlasslosen Zugriff der Behörden 
auf die Daten rechnen. Damit ist der 
Wesensgehalt des Grundrechts auf Ach- 
tung des Privatlebens verletzt.” 


Die Analyse der Datenströme zeigt, 
dass Tiktok in seiner Logik kein Überwa- 
chungsnetzwerk aus dem kommunisti- 
schen Politbüro ist, sondern einem sehr 
westlichen, kapitalistischen Konzept 
folgt. Kritiker nennen das Geschäftsmo- 
dell „People Farming“: Leute werden mit 
psychologischen Tricks möglichst lang 
auf einer Plattform gehalten und schau- 
en Inhalte, die sie im Idealfall selbst 
erstellt haben. Dann wird ihnen Wer- 
bung angezeigt, die anfallenden Daten 
über sie werden weitervermarktet. Dazu 
passt, dass Tiktok eine eigene Vermark- 
tungsplattform gegründet hat (Giesen, 
Tiktok unter Verdacht, SZ 04.11.2019, 
17; Eberl, Das Netzwerk, SZ 05.12.2019, 
29; Böhm/Mingels/Rainer, Schwierige 
Pubertät, Der Spiegel Nr. 1, 28.12.2019, 
70 ff.). 


EU 


Wiewiörowski neuer 
Europäischer Datenschutz- 
beauftragter 


Wojciech Wiewiörowski ist am 
26.11.2019 zum Datenschutzbeauftrag- 
ten der EU-Institutionen gewählt wor- 
den. Der Ausschuss für Justiz und Bür- 
gerrechte im EU-Parlament bestätigte 
mit breiter Mehrheit Wiewiörowski, der 
nach dem Tode seines Amtsvorgängers 
Giovanni Buttarelli (DANA 3/2019, 158) 
seit August dessen Aufgaben übernom- 
men hatte. Der polnische Verfassungs- 
rechtler soll zumindest bis Dezember 
2023 Chef der europäischen Daten- 
schutzbehörde bleiben. Der Europäi- 
sche Datenschutzbeauftragte ist für die 
Einhaltung des Datenschutzes durch die 
EU-Institutionen zuständig und berät 
die EU-Kommission bei neuen Gesetzes- 
vorschlägen. Die Behörde sitzt zudem im 
Europäischen Datenschutzausschuss, 
einem Gremium von Datenschützern 
aller EU-Staaten. Seit Wirksamwerden 
der Datenschutz-Grundverordnung (DS- 
GVO) kommt der Behörde eine Schlüs- 
selrolle bei deren Durchsetzung zu. 

Der 48-jährige Wiewiörowski, in Brüs- 
sel auch als WW bekannt, galt unter 
Netzaktivisten und Datenschützern als 
stärkster Kandidat um das Amt. Gegen 
ihn traten der Franzose Yann Padova 
und der Ungar Endre Szabö an. Als gro- 
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ße Herausforderungen seiner Amtszeit 
nannte Wiewiörowski die Einführung 
von Künstlicher Intelligenz, Biometrie 
und automatisierte Gesichtserkennung, 
Blockchain und Quantencomputer. „Für 
alle diese Techniken können im Rahmen 
des Datenschutzes wichtige Leitlini- 
en vorgegeben werden, und das sollte 
auch getan werden. Wenn wir unsere 
Standards senken, werden sich weltweit 
Länder zunehmend an anderen Model- 
len orientieren, etwa an jenem Chinas 
oder an jenen, die in den kommenden 
fünf Jahren in Indien und den Vereinig- 
ten Staaten entstehen werden.” 

Wiewiörowski kontrolliert künftig 
auch die Arbeit von EU-Einrichtungen 
wie der Polizeiagentur Europol und der 
Grenzbehörde Frontex. Bei der seiner 
Wahl vorausgegangenen Anhörung im 
EU-Parlament hatten einige Abgeordne- 
te Wiewiörowski den Rücken gestärkt. Es 
sei klar, dass er einige „Überzeugungen 
und Sichtweisen” mit ihr teile, sagte die 
niederländische Abgeordnete Sophie 
in’t Veld, die sich seit Jahren für digitale 
Rechte stark macht. Der EU-Abgeordnete 
der Piratenpartei Patrick Breyer meinte, 
neben seiner langjährigen einschlägi- 
gen Erfahrung zeichne ihn „seine Unab- 
hängigkeit von Regierungs- und Indus- 
trieinteressen und seine Kontakte zur 
Bürgerrechtsbewegung” aus. Wiewiör- 
owski hatte kurz vor seiner Wahl Anfang 
November in Brüssel die auch von vielen 
Aktivisten besuchte Digitalkonferenz 
„Freedom not Fear“ eröffnet. 

Der 1971 Geborene begann zur Zeit 
der Wende in seiner Heimat Polen sein 
Rechtsstudium. Vor seiner Anhörung 
schrieb er: „Ich bin in einem undemo- 
kratischen Land in einer Zeit großer 
Umbrüche aufgewachsen. Ich werde 
nie vergessen, welche Auswirkungen 
ein Überwachungsstaat und das Kriegs- 
recht auf ganz normale Menschen ha- 
ben: das schreckliche Gefühl, wenn 
man weiß, dass die Behörden die Privat- 
korrespondenz und Telefongespräche 
routinemäßig kontrollieren, und zwar 
im Namen der “Sicherheit” und zum 
“Wohl der Allgemeinheit‘. Ich schätze 
die Freiheit und Würde des Einzelnen 
aufgrund meiner eigenen Erfahrungen, 
und mir ist bewusst, wie wertvoll und 
zerbrechlich sie sind.” 

Nach seinem Studium arbeitete Wie- 
wiörowski an der Universität Danzig und 
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für das polnische Innenministerium zu 
IT-Recht. Ab 2010 leitete er Polens Da- 
tenschutzbehörde und arbeitete in EU- 
Datenschutzgremien mit, ab Dezember 
2014 war er stellvertretender Europäi- 
scher Datenschutzbeauftragter. Mit dem 
Tod von Giovanni Buttarelli hatte Wiewi- 
örowski das Amt des Europäischen Da- 
tenschutzbeauftragten vorübergehend 
übernommen. Nun erhielt er ein Mandat 
für die volle Amtszeit von fünf Jahren 
(Fanta, EU-Parlament bestätigt Euro- 
päischen Datenschutzbeauftragten, 
netzpolitik.org 26.11.2019; Daten- 
schützer für EU, SZ 27.11.2019, 16). 


Deutschland/Frankreich/ 
Großbritannien 


Psychowebseiten über- 
tragen Nutzungsdaten für 
Werbezwecke 


Eine Analyse von Privacy Internati- 
onal (PI) zeigt, dass ein Großteil be- 
liebter Webseiten, auf denen sich Be- 
sucher über psychische Krankheiten 
informieren können, Nutzungsdaten 
an andere Unternehmen weiterleitet, 
die augenscheinlich gar nichts mit den 
Gesundheits-Webseiten zu tun haben. 
Menschen, die unter Depressionen lei- 
den und im Internet Hilfe suchen, ge- 
nießen so keine Vertraulichkeit. Unter 
den beobachtenden Unternehmen sind 
große Werbenetzwerke sowie Google, 
Amazon und Facebook. Drittanbieter 
könnten anhand der weitergegebenen 
Daten erkennen, dass sich ein Besucher 
über psychische Erkrankungen infor- 
miert hat oder gar einen Depressions- 
Selbsttest gemacht hat. In vielen Fällen 
werden die Daten ohne die Zustimmung 
der Nutzenden weitergegeben. 

Es gibt wenige Themen, die so scham- 
besetzt sind wie psychische Krankhei- 
ten. Daten, die Rückschlüsse auf die 
Gesundheit Einzelner zulassen können, 
sollten deshalb nicht nur in den Kran- 
kenakten von Ärzten oder Psychologen 
besonders geschützt sein, sondern auch 
im Netz. PI, eine in London ansässige 
Datenschutzorganisation, untersuch- 
te 136 viel frequentierte Webseiten für 
psychische Gesundheit in Deutschland, 
Frankreich und Großbritannien. Web- 
seiten bestehen aus verschiedenen 


Software-Bausteinen. Nicht über alle 
davon hat der Betreiber der Seite die 
volle Kontrolle. Mehr als 97% der unter- 
suchten Seiten enthielten Elemente von 
Drittanbietern. Diese können harmlos 
sein und zum Beispiel nur visuelle Effek- 
te auf der Seite steuern. Andere werden 
aber eingesetzt, um den Besuchenden 
Werbung anzuzeigen, Daten über ihr 
Verhalten zu erfassen und an andere 
Firmen weiterzuleiten. 

Die 44 untersuchten deutschen Sei- 
ten enthielten im Schnitt mehr als 
acht Elemente von Drittanbietern und 
übermittelten in mehr als sieben Fällen 
Tracking-Cookies solcher Firmen. Coo- 
kies sind Daten, die auf dem Gerät eines 
Internetnutzers gespeichert werden, 
wenn er eine Webseite besucht. Anhand 
einer eindeutigen Identifizierungsnum- 
mer können Cookies von Drittanbietern 
Nutzende über verschiedene Webseiten 
hinweg verfolgen. Ziel ist, ihnen pass- 
genau maßgeschneiderte Werbung an- 
hand der vermuteten Interessen anzu- 
zeigen. 

Fast zwei Drittel der von Plentdeckten 
Elemente wurden von den Gesundheits- 
Webseiten für Werbung eingesetzt. Die 
Seiten ermöglichen es Werbenetzwer- 
ken, ihre ohnehin große Datensamm- 
lung um intime Details zu ergänzen. 
Vier von neun näher untersuchten Sei- 
ten fragten der Studie zufolge nicht 
um Erlaubnis, bevor sie einen Cookie 
bei den Besuchenden hinterlegen. Ul- 
rich Kühn, stellvertretender Leiter der 
Hamburger Datenschutzaufsichtsbe- 
hörde, erklärte, dass es ohne Einwil- 
ligung „keine Rechtsgrundlage” für 
die Datenweitergabe gebe. Das sei „ein 
klarer Verstoß gegen die Datenschutz- 
Grundverordnung” (DSGVO). Die DSGVO 
stellt Gesundheitsdaten auf eine Stufe 
mit Informationen über sexuelle Orien- 
tierung, genetische und biometrische 
Merkmale sowie Informationen über 
„rassische und ethnische Herkunft“, 
Religion und Weltanschauung. 

PI empfiehlt, dass Seiten, die sensib- 
le Themen wie psychische Gesundheit 
behandeln, komplett auf verhaltenso- 
rientierte Anzeigen verzichten. Die Or- 
ganisation nahm auch Webseiten unter 
die Lupe, die Depressions-Selbsttests 
anbieten. In diesen Fällen wird auch die 
Adresse der Webseite an Werbetreiben- 
de weitergeleitet, wie etwa netdoktor. 
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de/selbsttests/depressionstest-nach- 
goldberg oder nie-mehr-depressiv.de/ 
depressionstest/. Anhand der Adresse 
könnten Werbetreibende den Inhalt der 
Webseite herausfinden und ihn Besu- 
chenden zuordnen. Dies dürfte vielen 
Hilfesuchenden sicher nicht gefallen. 
Einige Selbsttests erwecken den Ein- 
druck, man könne sie komplett anonym 
nutzen, ohne dass dies zutrifft: Um die 
untersuchten Tests herum identifi- 
zierte PI jeweils Dutzende Tracker, die 
Informationen speichern und diese 
wiederum mit Informationen anderer 
Webseiten verknüpfen können. Dadurch 
können personenbezogene Profile ent- 
stehen. 

Die Antworten der Selbsttests wer- 
den immerhin in den untersuchten 
deutschen Fällen nicht übertragen. Die 
Drittanbieter wissen im Zweifel nur, 
dass ein Nutzer einen Depressionstest 
gemacht hat und bis zu welcher Frage 
geklickt wurde. Für welche Antwort- 
möglichkeit sich der Nutzer entschie- 
den hat, welche Symptome er also bei 
sich selbst beobachtet, kann aus den 
übertragenen Daten nicht geschlossen 
werden. Allerdings teilen mehrere fran- 
zösisch- und englischsprachige Web- 
seiten die Antworten der Nutzenden 
mit Drittanbietern, wie Pl in der Ana- 
lyse schreibt. 

Die Webseite Netdoktor.de ist eine 
der beliebtesten digitalen Anlaufstel- 
len für Gesundheitsfragen in Deutsch- 
land. Gemäß PI setzt sie die meisten 
Drittanbieter-Elemente aller unter- 
suchten deutschen Webseiten ein. 
Darunter ist etwa ein Cookie der fran- 
zösischen Werbefirma Criteo, die eige- 
nen Angaben zufolge Daten zum Besu- 
cherverhalten auf mehreren Webseiten 
sammelt, um „relevantere” Werbung zu 
präsentieren. Laut PI hat ein Drittan- 
bieter wie Criteo dadurch auch Zugriff 
auf die Adresse der Webseite und damit 
auf die Information, dass die Besuche- 
ıIn einen Test aufgerufen hat. Netdok- 
tor erklärt, dass keine Speicherung ge- 
sundheitsbezogener Daten stattfinde. 
Genauso wenig würden entsprechende 
Daten an Dritte weitergegeben oder gar 
veräußert. Man halte sich an geltendes 
Datenschutzrecht. 

Allerdings kann beim Besuch der Web- 
seite die IP-Adresse der Nutzenden und 
der Inhalt seitenübergreifender Coo- 
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kies an eine Vielzahl von Drittanbietern 
übermittelt werden. Die IP-Adresse ist 
personenbeziehbar. In Kombination mit 
anderen Daten wie besuchten Webseiten 
ist sie besonders wertvoll für Werber. 
Frederike Kaltheuner von PI sagt: „Das 
Problem bei diesen Webseiten ist, dass 
schon die Adresse der Webseite sehr viel 
über uns preisgibt: Test, Symptome, bin 
ich depressiv - das sagt schon sehr viel 
über mich aus.” 

Auch die Internetseiten mehrerer 
deutscher Kliniken gehen laut der Un- 
tersuchung nicht sensibel genug mit 
den Daten ihrer Besucher um. Nach ent- 
sprechenden Anfragen der Presse erklär- 
ten mehrere der Kliniken, einzelne Mar- 
keting-Werkzeuge von Drittanbietern 
auf ihren Webseiten vorerst abzuschal- 
ten. Kurz vor der PI-Veröffentlichung 
hatte eine Recherche der Süddeutschen 
Zeitung gezeigt, wie problematisch 
Nachlässigkeit beim Umgang mit In- 
formationen über die Gesundheit von 
Menschen im Internet sein kann. Die 
Webseite des Blutspendedienstes des 
Bayerischen Roten Kreuzes bietet eine 
Umfrage für potentielle Blutspender 
an, in der unter anderem nach HIV- und 
Hepatitis-Infektionen oder Schwanger- 
schaftsabbrüchen gefragt wurde. Durch 
eine Fehlkonfiguration übertrug die 
Webseite wochenlang die Antworten 
an Facebook. Der Blutspendedienst hat 
diese Übertragung dann abgestellt. Das 
Bayerische Landesamt für Datenschutz- 
aufsicht untersucht diesen Fall (Felix 
Brühl/Ebert/Eckert/Strozyk/Wormer, 
Depression: Wie Hilfesuchende im Netz 
erfasst werden, www.sueddeutsche.de 
03.09.2019 = Überwacht beim Selbst- 
test, SZ 04.09.2019, 14). 


Spanien 


Volkszählung: Handy- 
tracking für statistische 
Zwecke 


Für die im Jahr 2021 geplante Volks- 
zählung will die spanische Statistikbe- 
hörde Instituto Nacional de Estadistica 
(INE) Mobilitätsdaten von Millionen 
Bürgern erfassen. Dafür werden schon 
jetzt die Bewegungen von Mobilfunk- 
geräten in den Netzen der drei Anbieter 
Movistar (Telefönica), Vodafone und 


Orange getrackt. Kunden von Service- 
providern (MVNO) sind nicht betroffen. 
Für die Analyse wurde aninsgesamt acht 
Tagen erfasst, wie viele Handys sich zu 
bestimmten Uhrzeiten in bestimmten 
Abschnitten der Netze aufhalten. Die 
Behörde und die Netzbetreiber versi- 
chern, dass die Daten anonym gespei- 
chert werden und keine Rückschlüsse 
auf die Identität der Handybesitzer er- 
lauben. Die Daten werden von den Netz- 
betreibern aufbereitet und an die Behör- 
de übermittelt. Spanischen Medienbe- 
richten zufolge erhalten die Unterneh- 
men dafür insgesamt rund 500.000 €. 
Man werde von den Mobilfunkanbietern 
keine individuellen Informationen wie 
Telefonnummern oder Namen erhalten, 
betonte INE. 

Im November 2019 fand die erste 
Phase der Datenerhebung statt, auch 
an einem Sonntag. Es folgte der erste 
Weihnachtsfeiertag. Als weitere Erhe- 
bungsperioden sind zwei Tage in den 
Sommerferien 2020 (20. Juli und 15. 
August 2020) geplant. Die Statistikbe- 
hörde möchte mit der Untersuchung im 
Rahmen der geplanten Volkszählung 
mehr Details über die Verhaltensweisen 
und Gewohnheiten der Bürger heraus- 
finden: wo sie wohnen, wo und wann 
sie arbeiten, welche Verkehrsmittel sie 
benutzen, welche Wege die Verkehrs- 
ströme im Land nehmen und ob die 
Menschen an Weihnachten verreisen 
und wohin. 

Eine Sprecherin der Verbraucher- 
schutzorganisation OCU erklärte, eine 
solche Verwendung von Daten sei zu 
statistischen Zwecken „zwar grundsätz- 
lich nicht illegal, auch wenn das ohne 
Einwilligung geschieht”. Um sicher zu 
sein, ob wirklich alles anonym verläuft, 
„wäre es notwendig, den Vertrag zwi- 
schen dem INE und den Betreibern ge- 
nauer zu untersuchen”. Spanische Me- 
dien gaben unterdessen Tipps, wie die 
Spanier das Tracking ihrer Handys un- 
terbinden können. Auch die Netzbetrei- 
ber reagierten teilweise. Vodafone bot 
seinen Kunden die Option, sich mittels 
der Kunden-App vom Tracking auszu- 
schließen. Orange soll auf ihrer Website 
einen ähnlichen Service anbieten (Sper- 
lich, Volkszählung: Behörde trackt Han- 
dys von Millionen Spaniern, www.heise. 
de 21.11.2019, Kurzlink: https://heise. 
de/-4594157). 
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Vatikan 


Sexueller Missbrauch nicht 
mehr durch „päpstliches 
Geheimnis” geschützt 


Papst Franziskus hat am 04.12.2019 
eine Regel für ungültig erklärt, durch 
die sexueller Missbrauch in der ka- 
tholischen Kirche verschleiert wurde, 
und verschärft damit die Gangart beim 
Kampf gegen Missbrauch von Kindern in 
der katholischen Kirche. Dazu schaffte 
er das „päpstliche Geheimnis” im Fall 
von Missbrauch durch Priester ab. Das 
„Päpstliche Geheimnis” ist eine strenge 
Verschwiegenheitsregel in der katho- 
lischen Kirche. Das sogenannte Secre- 
tum pontificium stellt es unter Strafe, 
bestimmte Rechtsvorgänge öffentlich 
zu machen. Franziskus hatte festge- 
stellt, dass diese Regel genutzt wurde, 
um Pädophile zu schützen, Opfer zum 
Schweigen zu bringen und die Strafver- 
folgungsbehörden davon abzuhalten, 
Verbrechen zu untersuchen. 

Die Transparenzregel gilt für Be- 
schwerden, Prozesse und Entscheidun- 
gen iin Fällen sexueller Gewalt und ihren 
Vorstufen, wenn dies begangen wurde 
unter Androhung oder Missbrauch von 
kirchlicher Amtsautorität, wenn es um 
Missbrauch von Minderjährigen und 
Schutzbedürftigen geht, um Kinderpor- 
nografie sowie bei unterlassener Mel- 
dung oder Vertuschung von Missbrauch 
durch Bischöfe und Generalobere von 
Ordensinstituten. Es geht gemäß dem 
vatikanischen Mediendirektor Andrea 
Torinelli beispielsweise um Zeugen- 
aussagen, die sich in Dokumenten be- 
finden, die unter dem Päpstlichen Ge- 
heimnis in Archiven des Vatikans oder 
von Bistümern lagern. Diese können 
auch der weltlichen Justiz ausgeliefert 
werden. Aussagen in Kirchenprozessen 
können auch an zivile Behörden gehen. 
Informanten, Opfer und Zeugen können 
künftig bei kirchlichen Verfahren „nicht 
verpflichtet werden, zu den Fakten zu 
schweigen”. 

Der massenhafte Missbrauch von Kin- 
dern hatte die katholische Kirche in 
eine ihrer schwersten Krisen gestürzt. 
Schon Franziskus’ Vorgänger Benedikt 
XVI. hatte totale Transparenz angekün- 
digt. Viele Kritiker sehen diese immer 
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noch nicht durchgesetzt. Die deutschen 
Bistümer hatten ihre Zusammenarbeit 
mit den Staatsanwaltschaften seit 2010 
intensiviert. Sobald sich ein Verdachts- 
fall sexuellen Missbrauchs erhärtet, soll 
er zur Anzeige gebracht werden. 

Franziskus veröffentlichte insgesamt 
zwei Dokumente, sogenannte Reskrip- 
te, in denen er seine Autorität nutzt, 
um bestimmte Artikel des kanonischen 
Rechts neu zu schreiben. Mit diesen 
„Motu proprio“ wird unter anderem 
neu geregelt, in welchem Alter Minder- 
jährige als Opfer von pornografischen 
Darstellungen gelten. Es gehört nun 
zu den schwersten Vergehen (gravi- 
ora delicta), wenn solche Bilder mit 
Kindern im Alter von bis zu 18 Jahren 
verbreitet oder besessen werden. Bis- 
her galt eine Grenze von 14 Jahren. 
Die Entscheidung des Papstes ist eine 
Folge des Antimissbrauchsgipfels im 
Vatikan im Februar 2019, zu dem Fran- 
ziskus alle Bischöfe der Welt geladen 
hatte. Der Vorsitzende der Deutschen 
Bischofskonferenz Kardinal Reinhard 
Marx hatte sich dort für die Änderun- 
gen stark gemacht. Nach einer von der 
Bischofskonferenz veranlassten Studie 
missbrauchten allein in Deutschland 
zwischen 1946 und 2014 mindestens 
1.670 katholische Geistliche 3.677 
Minderjährige. Der Erzbischof von Mal- 
ta und einer der engsten Papstberater 
beim Thema Missbrauch, Charles Scic- 
luna, sprach von einer „epochalen” 
Entscheidung. 

Eine Hintertür bleibt jedoch auch 
nach dem Erlass: Die Verfahrensvor- 
gänge unterliegen auch künftig einer 
besonderen Vertraulichkeit. Das Päpst- 
liche Geheimnis wird nicht direkt abge- 
schafft, sondern eher herabgestuft auf 
die Ebene eines Amtsgeheimnisses. Das 
Amtsgeheimnis befreit nicht von Ver- 
pflichtungen durch staatliche Gesetze. 
Darunter fällt z.B. eine etwaige Mel- 
depflicht bei Missbrauch. Eine solche 
Pflicht gibt es aber nicht überall, auch 
nicht in Deutschland. Generell umfasst 
das Päpstliche Geheimnis Geheimhal- 
tungsnormen für bestimmte Rechts- 
und Verwaltungsakte der katholischen 
Kirche, etwa auch bei der Auswahl von 
Bischöfen. Zielsetzung ist der Schutz 
von Persönlichkeitsrechten. Magnus 
Lux von der Laienbewegung „Wir sind 
Kirche“ erklärte, die Entscheidung 


des Papstes habe große Tragweite, da 
Missbrauchsopfer bisher keinen Ein- 
blick hatten in kircheninterne Prozesse 
(Medichini, Franziskus schafft „päpst- 
liches Geheimnis” bei Missbrauch ab, 
www.spiegel.de 17.12.2019, Bachstein, 
„Päpstliches Geheimnis” bei Missbrauch 
abgeschafft, SZ 18.12.2019, 1). 


Russland 


Deutsche Ermittlungen 
wegen Hacking 


Der Hackerangriff auf die Welt-Do- 
ping-Agentur WADA im Jahr 2016 hat 
ein juristisches Nachspiel in Deutsch- 
land. Generalbundesanwalt Peter Frank 
hat in dem Zusammenhang ein Ermitt- 
lungsverfahren wegen „geheimdienst- 
licher Agententätigkeit” eingeleitet. 
Hintergrund ist, dass bei dem Angriff 
vor drei Jahren auch die bei der WADA 
hinterlegten Daten deutscher Sport- 
ler, etwa des Tischtennisprofis Timo 
Boll oder der Speerwerferin Christina 
Obergföll, ausgespäht wurden. Die Er- 
mittler schreiben den Angriff der Ha- 
ckergruppe APT28 zu, auch bekannt un- 
ter „Fancy Bear“. Die Gruppe wird dem 
russischen Militärgeheimdienst GRU zu- 
gerechnet. Auf das Konto dieser Hacker 
sollen weltweit zahlreiche Angriffe auf 
hochrangige Ziele gehen. In Deutsch- 
land werden ihnen u.a. die Attacke auf 
den Deutschen Bundestag 2015, Angrif- 
fe auf politische Stiftungen und Medien 
vorgeworfen. Bei dem Angriff auf die 
WADA hatten die Hacker Daten über Do- 
pingkontrollen zahlreicher Athletinnen 
und Athleten entwendet (Deutschland 
ermittelt gegen russische Hacker, Der 
Spiegel Nr. 47, 16.11.2019, 25). 


Russland 


Gesetzliche Internet-Total- 
kontrolle 


Am 01.11.2019 wurde in Russland das 
„souveräne-Internet-Gesetz“ in Kraft ge- 
setzt, mit dem der Staat Zensur im und 
volle Kontrolle über das Internet reali- 
sieren möchte. Das Gesetz sieht eine um- 
fangreiche Vorratsdatenspeicherung vor. 
Außerdem soll durch ein Gesetz ab Juli 
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2020 den Behörden und Geheimdiensten 
der Zugriff auf Daten von Smartphone- 
und Tabletnutzern erleichtert werden. 
Elektronische Geräte, die in Russland 
verkauft werden, müssen von da an mit 
Apps und Software russischer Unterneh- 
men ausgestattet sein. Welche ausländi- 
schen Unternehmen betroffen sind und 
welche Apps vorinstalliert werden müs- 
sen, soll öffentlich gemacht werden, be- 
vor das Gesetz ab Sommer 2020 in Kraft 
tritt. Doch schon jetzt wird gemutmaßt, 
wen es wohl treffen könnte - besonders 
heikel könnte es für Apple werden. 

Vertreter des Apple-Konzerns sollen 
Presseberichten zufolge vor Umsetzung 
des Gesetzes damit gedroht haben, dass 
das Unternehmen den russischen Markt 
verlassen könnte. Die Installationspflicht 
würde das Geschäftsprinzip des Konzerns 
verletzen: Apple-Geräte werden grund- 
sätzlich ohne vorinstallierte Apps und 
Browser von Drittanbietern verkauft. 
Russische Medien sprechen deswegen 
bereits vom „Anti-Apple-Gesetz”. 

Immer mehr ausländische Unterneh- 
men werden zudem verpflichtet, die 
Daten russischer Nutzer auf russischen 
Servern zu speichern. Der Kreml argu- 
mentiert, damit wolle er russische Un- 
ternehmen stärken und Verbraucher vor 
Datenklau und Cyberangriffen aus dem 
Ausland schützen. Kritiker widerspre- 
chen: Es sei der Versuch, besser an die 
Daten von Millionen Russen zu kommen 
und deren Aktivitäten im Netz zu über- 
wachen. Eine russische Wikipedia soll 
zudem aufgebaut werden, die, so Prä- 
sident Wladimir Putin, „verlässliche In- 
formationen” bietet. Spätestens seit den 
Moskauer Massenprotesten von 2012 
versucht die russische Regierung immer 
aggressiver, das Internet zu kontrollie- 
ren, blockiert Internetseiten und Apps. 

Traditionell war in Russland das Fern- 
sehen Informationsquelle Nummer Eins, 
doch die Sender werden mittlerweile 
staatlich kontrolliert. Daher informieren 
sich viele Russinnen und Russen lieber 
im Netz. Kritische Diskussionen finden 
auf Twitter statt. Über Facebook oder 
das russische Pendant VKontakte werden 
Demonstrationen organisiert, staatskri- 
tische TV-Formate sind inzwischen zu 
Youtube abgewandert. Auch der polari- 
sierende Aktivist und Anwalt Alexej Na- 
walny veröffentlicht online Enthüllungs- 
videos - mit Millionen Klicks. 
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Menschenrechtler von Human Rights 
Watch kritisieren, das schwammig for- 
mulierte Souveräne-Internet-Gesetz er- 
laube alles - vom Blockieren einzelner 
Nachrichten bis zur kompletten Abschal- 
tung des Internets. Tür und Tor werde 
geöffnet für eine Massenüberwachung, 
für politische Repression und eine Inva- 
sion in die Privatsphäre. Die russische 
Regierung begründet die mit dem Ge- 
setz verbundene Abschottung auch da- 
mit, dass eine eigene Infrastruktur für 
ein souveränes Netz mögliche Cyberan- 
griffe aus dem Ausland verhindern soll. 
Präsident Putin hatte das Gesetz im Mai 
2019 unterzeichnet und die Kritik von 
Netzexperten und Menschenrechtlern 
zurückgewiesen. Egal, was es koste, die 
Rohstoff- und Atommacht müsse ein 
autonomes Internet haben. Das sei eine 
Frage der nationalen Sicherheit. 

Der russische Internetexperte Alex- 
ander Isawnin von der unabhängigen 
Organisation Roskomswoboda (Für die 
Freiheit des Netzes) erklärte dagegen: 
„Damit übernimmt der Staat erstmals 
die volle technische Kontrolle über 
das Internet.” Schon bisher war es so, 
dass viele Internetseiten, die etwa in 
Deutschland frei abrufbar sind, für rus- 
sische Nutzende gesperrt blieben - etwa 
die des Regierungsgegners Michail Cho- 
dorkowski. Die Menschenrechtsorgani- 
sation Agora sieht das Gesetz als „fun- 
damentale Wende” in der Regierungs- 
politik bei der Kontrolle des Internets. 
Tausende - vor allem junge Menschen 
- hatten im Frühjahr 2019 gegen das 
Gesetz demonstriert. Sie befürchten, 
der Kreml könnte künftig nach Belieben 
das Internet aus politischen Gründen 
abschalten. 

Das wies Putins Sprecher, derim Kreml 
für Internetfragen zuständige Dmitri 
Peskow, als Unsinn zurück. Niemand 
habe die Absicht, Russland vom World 
Wide Web abzukoppeln. Vielmehr beste- 
he die Gefahr, dass der Westen Russland 
vom Netz abklemme. Deshalb brauche 
das Land eine unabhängige digitale In- 
frastruktur. Geschaffen werde nur eine 
Reservestruktur für mehr Sicherheit, 
behauptete der Chefdes Ausschusses für 
Informationspolitik in der russischen 
Staatsduma Leonid Lewin. Das „Runet” 
bleibe ein Teil des weltweiten Netzes. 
Es gehe um einen sicheren Netzzugang 
für russische Nutzende unabhängig von 


der Arbeitsweise ausländischer Anbie- 
ter. Zudem solle das autonome Netz nur 
übungsweise oder im Fall von Gefahr 
von außen genutzt werden. 

Der Internetaktivist Isawmin sieht 
auch wirtschaftliche Interessen hinter 
dem Gesetz. Zielseies, dieZahlderrund 
5.000 Anbieter auf dem bisher freien 
Markt durch direkte staatliche Einmi- 
schung zu reduzieren. Technisch sei 
noch vieles ungeklärt. Klar sei aber, so 
Isawnin, dass der russische Internet- 
verkehr künftig über Knotenpunkte im 
eigenen Land gelenkt werden solle. Die 
Infrastruktur dafür müsse erst noch 
aufgebaut werden. Zunächst sollen 
sich Provider Geräte anschaffen, die es 
der obersten Aufsichtsbehörde Ros- 
komnadsor erlauben, direkt Inhalte zu 
kontrollieren und den Datenverkehr zu 
steuern. Der bisher freie Markt werde 
damit zerstört: „Mit dem Gesetz hat der 
Staat das Instrument, sich direkt ein- 
zumischen. So etwas gibt es bei Ihnen 
in Deutschland nicht. Und nach allen 
bisherigen Erfahrungen, ist jetzt das 
Schlimmste zu erwarten.” Isawnin be- 
fürchtet, dass bei einer zunehmenden 
Monopolisierung das Internet künftig 
langsamer und teurer werden könnte. 
Insgesamt sei aber auch fraglich, ob das 
technisch alles überhaupt funktionie- 
ren könne. 

Konzerne klagen schon jetzt über 
enorme Kosten, weil sie den Datenver- 
kehr monatelang speichern müssen. Die 
Unternehmen forderten unlängst den 
russischen Staat auf, der die Gesetze 
erlasse, die Kosten dafür zu tragen. Der 
bisher freie Markt wird damit, so Isaw- 
nin, zerstört. Der russische Staat will 
die komplett neue Infrastruktur schaf- 
fen, um insbesondere von amerikani- 
schen Konzernen, bei denen bisher der 
Großteil der Daten lagert, unabhängig 
zu sein. Die russische Regierung stört 
sich schon seit Langem daran, dass vor 
allem die westlichen Internetkonzerne 
Zugriff auf die wertvollen Datensätze 
haben. Die Daten russischer Bürger dür- 
fen nach einem anderen Gesetz schon 
jetzt nicht mehr auf Servern im Ausland 
gespeichert werden. Das führte etwa 
zur Sperrung des Karrierenetzwerks 
LinkedIn in Russland. 

Gegen Facebook und Twitter gab es 
bisher vor allem Drohungen und Ord- 
nungsstrafen. Gesperrt sind die Zugän- 
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ge aber nicht. Die Organisation Reporter 
ohne Grenzen (ROG) sieht in dem Gesetz 
einen Angriff auf die Presse- und Mei- 
nungsfreiheit. Kontrolle und Filterung 
des Datenverkehrs lägen nun bei der 
Medienaufsicht und dem Geheimdienst. 
Deshalb sei das Gesetz eine Bedrohung 
für die Freiheit des Internets, der Ver- 
such einer Zensur. ROG-Geschäftsführer 
Christian Mihr: „Es belegt, dass die rus- 
sische Führung bereit ist, die gesamte 
Infrastruktur des Netzes unter politi- 
sche Kontrolle zu bringen, um bei Be- 
darf den digitalen Informationsfluss 
abzuschneiden.” 

Schon während der Proteste im Som- 
mer 2019 wurde ein Vorgeschmack da- 
rauf vermittelt, was künftig noch kom- 
men könnte. Ein Absetzen von Nach- 
richten in sozialen Netzwerken oder 
auch nur Telefonieren waren teils nicht 
mehr möglich. Bei Protesten in der rus- 
sischen Teilrepublik Inguschetien im 
Nordkaukasus 2018 wurde der Zugang 
zum Internet dortigen Medien zufolge 
einfach gesperrt. 

Der Internet-Ombudsmann Dmitri 
Marinitschew erklärte: „Es braucht viel 
Anstrengung, um gegen die negativen 
Folgen des Gesetzes anzukämpfen.” 
Noch seien die freiheitsliebenden Refle- 
xe in der russischen Gesellschaft intakt 
- anders als etwa in China, wo das Inter- 
net nie frei gewesen sei: „Die ‚Daumen- 
schrauben’ lassen sich vielleicht kurz- 
fristig fester ziehen, um irgendwelche 
lokalen Aufgaben zu erledigen, aber ein 
‚chinesisches Internet‘ lässt sich schon 
nicht mehr umsetzen.” Er äußerte die 
Hoffnung, dass das Gesetz am Ende wie- 
der aufgehoben wird (Internet in Russ- 
land kommt unter staatliche Kontrolle, 
www.zeit.de 01.11.2019; Mauder, Russ- 
land schafft sich sein eigenes Internet, 
Kieler Nachrichten, 02.11.2019, 4; Lip- 
kowski, Unter staatlicher Kontrolle, SZ 
08.01.2020, 19). 


USA u.a. 


IT-Unternehmen greifen 
auf Gesundheitsdaten 


Auf der weltgrößten Medizinmesse 
„Medica” in Düsseldorf im November 
2019 waren die Themen Big Data, KI 
und selbstlernende Maschinen do- 
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minierend. Internetriesen wie Goog- 
le, Facebook und Amazon wollen sich 
Patientenakten und Gesundheitsdaten 
sichern. NRW-Digitalminister Andreas 
Pinkwart betonte dagegen mehrfach: 
„Die Patienten müssen die Souveränität 
über ihre Daten behalten.” Er verwies 
dabei auf europäische und deutsche 
Standards beim Datenschutz. Davon un- 
beeindruckt sind US-Internetgiganten 
wie Google, Facebook und Amazon da- 
bei, sich auf dem Weg über spezialisierte 
Gesundheits-Websites bzw. direkte Ver- 
träge mit Klinikbetreibern den Zugang 
zu Millionen Patientenakten und hoch- 
sensiblen Gesundheitsdaten zu sichern. 
Google bestätigte, auf technischem 
Gebiet eng mit der großen amerikani- 
schen Gesundheitskette Ascension zu- 
sammenzuarbeiten, die 2.600 Einrich- 
tungen des Gesundheitssystems - von 
der Klinik bis zum Seniorenheim - ver- 
waltet. Inzwischen soll das US-Gesund- 
heitsministerium prüfen, inwieweit es 
bei dieser Auftragsdatenverarbeitung 
Verstöße gegeben hat. 

Gemäß Presseberichten sollen seit 
2018 Patientendatensätze von 51 Mil- 
lionen Bürgern aus 21 Bundesstaaten 
weitergeleitet worden sein, ohne dass 
Patienten oder Ärzte davon wussten. 
Namen, Geburtsdaten, Laborergebnisse 
und Klinikdokumente landeten beim 
IT-Unternehmen. Mindestens 150 Mit- 
arbeiter sollen einen Zugriff darauf ha- 
ben - Arbeitstitel: „Project Nightinga- 
le” (Nachtigall). Mit der Datenflut will 
Google nach eigenen Angaben gemein- 
sam mit Ascension KI-Anwendungen 
und maschinelles Lernen testen. Exper- 
ten sehen darin aber auch einen Ansatz 
Googles, in die milliardenschwere Ge- 
sundheitsbranche einzusteigen. 

Ein weiterer Ansatz der Internet-Rie- 
sen, an Gesundheitsdaten zu gelangen, 
besteht darin über Internet-Aktivitäten 
auf Gesundheits-Websites Daten zu 
medizinischen Symptomen und Krank- 
heitsbildern zu sammeln. Die Daten- 
weiterleitung erfolgte in Großbritan- 
nien bei Stichwörtern wie Abtreibung 
oder Drogen - ohne Einverständnis der 
Internet-Nutzer. Davon profitiert u.a. 
DoubleClick, ein Google-Werbeunter- 
nehmen. In Deutschland hat der Ethi- 
krat gefordert, dass bei KI-Einsatz und 
Big Data im Gesundheitsbereich die Da- 
tensouveränität im Vordergrund stehen 


muss. Patienten sollen mitbestimmen 
können, wie und in welchem Kontext 
ihre Daten verwendet und weitergelei- 
tet werden (Kleideiter, Problem Daten- 
schutz: Google & Co. haben Zugriff auf 
sensible Gesundheitsdaten, www.wn.de 
24.11.2019). 


USA 


US-Regierung speichert 
DNA-Proben von Flücht- 
lingen 


Die US-Regierung unter Donald Trump 
startete im Januar 2020 nach einer Ge- 
setzesänderung die Erhebung von DNA- 
Proben von Asylsuchenden und anderen 
Einwanderern, die von Ausländerbe- 
hörden festgehalten werden. Gemäß 
einer Veröffentlichung des Innenmi- 
nisteriums (Homeland Security) geht 
der Schritt zurück auf „DNA Fingerprint 
Act“ von 2005. Dieser besagt, dass die 
genetischen Informationen von jeder 
wegen einer möglichen Straftat gegen 
das Land festgenommenen Person ge- 
speichert werden dürfen. Bisher zählte 
das Überschreiten der US-Grenze nicht 
dazu. 

Für die Erhebung mittels eines Ab- 
strichs aus der Wange zuständig sind 
sowohl die Grenzschutzbehörde (CBP) 
als auch der Zollschutz (ICE), jeweils 
zunächst in unterschiedlichen Grenz- 
bereichen. Das FBI wertet die Daten aus 
und speichert sie in seiner Datenbank 
ab. Ausgenommen sind Kinder unter 
14 Jahren, Senioren über 79 und Men- 
schen mit psychischen oder physischen 
Einschränkungen. Erfasst wird, wer un- 
zulässig einreist. Gemäß den Pressebe- 
richten laufen die neuen Regeln darauf 
hinaus, dass mit den Daten von hunder- 
tausenden Immigranten eine umfang- 
reiche neue Datenbank aufgebaut wird. 
Kritiker halten die Maßnahme für ver- 
fassungswidrig. 

Die USA sind dabei, ein riesiges Bio- 
metrie-Überwachungsnetz aufzubau- 
en. Neben Homeland Security hat auch 
das Pentagon (Verteidigungsministeri- 
um) eine Datenbank, in der 7,4 Millio- 
nen Identitäten gespeichert sein sollen. 
In der „Next Generation Identification”- 
Datenbank (NIG) des FBIsollen 2016 be- 
reits mehr als 411 Millionen Menschen 
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erfasst gewesen sein. Dort werden ne- 
ben DNA-Daten auch Informationen zu 
Gesichtsbildern, Iris-Aufnahmen und 
Fingerabdrücke gespeichert. (Trump 
Administration to Change Rules to Al- 
low it to Collect Asylum-Seekers“ DNA, 
Says Report, www.thedailybeast.com 
21.10.2019; Weiß, USA sammeln DNA- 
Daten von illegalen Migranten, www. 
heise.de 07.01.2019, Kurzlink: https:// 
heise.de/-4629636; vgl. DANA 4/2019, 
230). 


USA 


Schulische Kommuni- 
kationsüberwachung 
zwecks Verhinderung 
unerwünschter Ereignisse 


Der Dienstleister Gaggle überwacht 
die digitale Arbeit und Kommunika- 
tion von rund 5 Mio. SchülerInnen in 
den USA im Kampf gegen Selbstmorde 
und Amokläufe. Die Firma setzt auf ei- 
nen Mix aus einem proprietären System 
mit Künstlicher Intelligenz (KT) und 
menschlichen Begutachtern von als 
schädlich oder gefährlich erkannten In- 
halten, um potenziell tödliche Taten zu 
verhindern. Zugleich soll das Programm 
dabei helfen, Kinder und Jugendliche 
zu „guten Bürgern” zu erziehen. Mit 
dem Ansatz wirft die Firma aber Fragen 
nicht nur zum Datenschutz der Betrof- 
fenen auf. 

Über 1.400 US-Schulen glauben be- 
reits den Versprechen von Gaggle und 
setzen die Software ein, um die digi- 
tale Arbeit und Kommunikation ih- 
rer Schutzbefohlenen „in Echtzeit” zu 
überwachen. Das Programm klinkt sich 
in Googles G Suite und Microsoft Office 
365 und damit in zwei der am weitesten 
verbreiteten Produktivitätspakete in 
der Cloud ein und analysiert den gesam- 
ten damit erzeugten Datenverkehr. Es 
bezieht zudem Nachrichten aus Twitter, 
Facebook, Instagram und anderen sozi- 
alen Netzwerken mit ein, die mit einer 
schulisch benutzten E-Mail-Adresse 
verknüpft sind. 

Gaggle behauptet, allein im Schul- 
jahr 2018/19 722 Schüler von einem 
Suizid abgehalten zu haben. Interne 
Dokumente wie Hinweise für Prüfer von 
Inhalten, Fallberichte und Rechnungen 
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aus 17 Schulbezirken, die das Online- 
Magazin BuzzFeed auf Basis des US- 
Informationsfreiheitsgesetzes erhalten 
und ausgewertet hat, zeigen, wie tief 
das System in die Privatsphäre der Be- 
troffenen eingreift und dass die Erfolgs- 
meldungen auf nur schwer nachprüf- 
baren Kriterien beruhen. Zudem wird 
deutlich, dass Schulbezirke mehr als 
60.000 US-$ für den Einsatz von Gaggle 
pro Jahr bezahlen, die in knappen Etats 
an anderer Stelle fehlen. 

Die Software mit dem eingebauten KI- 
Filter scannt demnach E-Mails, Doku- 
mente, Chats und Kalendereinträge und 
gleicht sie mit einer schwarzen Liste ab, 
auf der sich neben Ausdrücken mit Be- 
zügen zu Selbstverletzungen, Gewalt, 
Mobbing oder Drogen auch „vulgäre 
Ausdrücke“ befinden. Letztere machen 
dem Bericht zufolge 80% der von dem 
System zur weiteren Verfolgung mar- 
kierten Inhalte aus. Auch Begriffe wie 
„schwul“, „lesbisch“ oder „queer” sind 
auf der Liste. Hinzu kommt ein „Anti- 
Pornografie-Scanner“, über dessen 
Trainingsdaten Gaggle aufgrund der 
sensiblen Thematik und geschützter In- 
formationen rund um die Eigenlösung 
keine Auskunft geben wollte. Stellt ein 
Analyst der Firma fest, dass ein Schüler 
pornografische Inhalte selbst erstellt 
hat, wird die Datei automatisch an das 
National Center for Missing and Exploi- 
ted Children (NCMEC) weitergeleitet für 
einen weiteren Abgleich mit der dorti- 
gen Datenbank für Bilder mit sexuellen 
Missbrauchsdarstellungen von Kindern. 

Schlägt die Software Alarm, übergibt 
sie einschlägiges Material an einen 
von 125 „Sicherheitsrepräsentanten 
1. Grades”. Erkennen auch diese darin 
eine immanente Bedrohung für Schü- 
lerinnen und Schüler, schaut noch ein 
Mitglied einer 25-köpfigen Kerngruppe 
von besonders geschulten Prüfern da- 
rüber. Bleibt es bei der Einschätzung, 
werden umgehend Zuständige bei der 
Ausbildungsstätte oder bei deren Nicht- 
erreichbarkeit bei der örtlichen Polizei 
informiert. Generell speist Gaggle Er- 
kenntnisse aus der Kommunikations- 
überwachungin ein „Dashboard“ für das 
„Sicherheitsmanagement” ein, auf das 
auch Schuladministratoren Zugriff ha- 
ben. Daraus ersichtlich werden „Regel- 
verletzungen“ einzelner Schülerinnen 
und Schüler zusammen mit deren Aus- 


weisnummern. Die Betroffenen werden 
dabei in drei Risikogruppen eingeteilt, 
die von hohen bis zu niedrigen Beden- 
ken mit nur „fragwürdigen Inhalten” 
reichen. 

Das System befolgt auf dieser Basis 
eine „Three Strikes“-Regel, wie sie ähn- 
lich auch aus dem Umgang mit Urheber- 
rechtsverletzungen mit Konsequenzen 
bis hin zu Netzsperren bekannt geworden 
ist. Demnach werden auch geringfügige 
Regelverstöße an eine Schule gemel- 
det, wenn sie wiederholt auftreten und 
ein Beobachteter etwa dreimal das Wort 
„Fuck“ benutzt. Betroffene verlieren 
damit gewisse Nutzerprivilegien, bis ein 
Schulvertreter sie wieder freischaltet. 

Im jüngsten Schuljahr will das Unter- 
nehmen mithilfe des Programms 52.000 
Hinweise auf Absichten für Selbstmorde 
und -verletzungen ausgemacht haben. 
Davon sollen 6.000 so dringlich gewe- 
sen sein, dass man die Schule unverzüg- 
lich darüber in Kenntnis gesetzt habe. 
Aus den Papieren geht aber hervor, dass 
die Software auch Dateien mit Titeln 
wie „Gedichtsammlung“ oder „erzäh- 
lerischer Aufsatz” als brandgefährlich 
eingeschätzt und so Fehlalarme aus- 
gelöst hat. Gaggle „empfiehlt“ Schul- 
bezirken nach eigenem Bekunden, die 
Erlaubnis von Eltern und SchülerInnen 
einzuholen, bevor sie die Software der 
Firma verwenden. Sollten sich einzelne 
Betroffene später für ein Opt-out ent- 
scheiden, könnten sie die von der Schu- 
le angebotenen Softwareprodukte und 
E-Mail-Dienste nicht mehr in Anspruch 
nehmen und müssten mit eigenen Alter- 
nativen arbeiten. Von einer echten frei- 
willigen Nutzung des Dienstes lässt sich 
also nicht ausgehen. 

Experten sehen den Einsatz des Sys- 
tems kritisch. Sarah Igo, Geschichtspro- 
fessorin an der Vanderbilt-Universität, 
erklärte, Schulen seien zwar schon im- 
mer „Trainingsstätten für die Persön- 
lichkeit” gewesen. Unter der ständigen 
Aufsicht von Diensten wie Gaggle würde 
den Heranwachsenden auch vielleicht 
das ein oder andere beigebracht, „aber 
nicht das, was sie lernen sollen“. Sarah 
Roberts, Expertin für „Content Modera- 
tion“ an der University of California in 
Los Angeles, stellte fest, dass es sich 
hier offenbar um eine „Lösung auf der 
Suche nach einem Problem“ handelt. 
Das Ganze funktioniere nur, „wenn wir 
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akzeptieren, dass unsere Kinder bis 
auf Weiteres in einem digitalen System 
gefangen sein sollten, schon letztlich 
von der Zeit an, in denen sie empfin- 
dungsfähig werden” (Krempl, Gaggle: 
Echtzeitüberwachung von US-Schülern 
mit Künstlicher Intelligenz, www.heise. 
de 02.11.2019; Kurzlink: https://heise. 
de/-4574230). 


Vereinigte Arabische Emirate 


Staatlicher Spionage- 
Messenger ToTok 


Die New York Times berichtete unter 
Berufung auf nicht genannte US-Be- 
amte und eine eigene Analyse, dass die 
sich zunehmender Beliebtheit erfreuen- 
de Chat-App namens ToTok ein Spiona- 
ge-Werkzeug ist, das für die Regierung 
der Vereinigten Arabischen Emirate 
(VAE) entwickelt worden ist. ToTok ist 
gerade einmal ein paar Monate alt und 
wurde allein unter Android bereits mehr 
als fünf Millionen Mal heruntergeladen 
und installiert. Mit ihr können Nutzen- 
de Nachrichten austauschen, Fotos und 
Videos verschicken, ähnlich wie Whats- 
app, Telegram oder Signal. Entwickelt 
wurde sie dem Bericht zufolge von einer 
Firma in den Emiraten, hinter der sich 
ein Dienstleister verbergen soll, beidem 
unter anderem ehemalige US-Geheim- 
dienstarbeiter für die Regierung des 
Golfstaats hacken. 

Der Messenger sei ein clever entwi- 
ckeltes Werkzeug zur Massenüberwa- 
chung: Standort, Kontakte, Mikrofon- 
und Kamerazugriff und weitere lokale 
Daten - alles steht zur freien Verfügung 
des VAE-Geheimdienstes. Für die Nutzer 
funktioniere die App wie eine der unzäh- 
ligen Apps unter Android und i0S, die 
die Ortsdaten und Kontakte der Benut- 
zer aufzeichnen. Im Gegenzug für den 
Zugriff auf den Standort verspreche die 
App einen passgenauen Wetterbericht 
und die Suche nach neuen Kontakten. 
Eine Ende-zu-Ende-Verschlüsselung wird 
nicht angeboten. Der Name spielt offen- 
bar auf das beliebte chinesische soziale 
Netzwerk TikTok an. Statt also Hackern 
viel Geld für Werkzeuge oder Sicherheits- 
lücken zum Zugriff auf Smartphones 
zu bezahlen, habe es die Regierung der 
Emirate geschafft, Millionen dazu zu be- 
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wegen, ihre Daten freiwillig herzugeben. 
Etwas versteckt habe es in den Angaben 
zu ToTok geheißen, dass „wir ihre persön- 
lichen Daten mit Firmen der Gruppe tei- 
len“ könnten. Hinter ToToks Betreiberfir- 
ma Breej Holding steckt gemäß dem Be- 
richt eine Hacking-Firma aus Abu Dhabi 
namens Dark Matter, die eine zentrale 
Rolle im digitalen Überwachungssystem 
der VAE spielt. 

Laut New York Times werden in dem 
Golfstaat einige Funktionen von Whats- 
App und Skype blockiert. Das habe zu 
dem schnellen Erfolg von ToTok beige- 
tragen. In den Emiraten sei die App be- 
sonders beliebt gewesen, aber zuletzt 
auch in Saudi-Arabien, Großbritannien, 
Indien, Schweden und anderen Staa- 
ten. Sowohl auf Google Play als auch in 
Apples App-Store wurde dieAppvonden 
Nutzern sehr positiv bewertet. Nach An- 
fragen der New York Times an Apple und 
Google wurde sie erst Dezember 2019 
von beiden Anbietern gesperrt. Die 
Kontrollmechanismen der beiden Kon- 
zerne gegen bösartige Software hatten 
zuvor offenbar nicht funktioniert. Be- 
reits über diese Stores installierte Apps 
funktionieren weiter. 

ToTok reagierte auf die Sperrung in 
den beiden App-Stores und erklärte, 
„einige Nutzer” hätten berichtet, dass 
sie die App nicht herunterladen kön- 
nen. „Tatsächlich“ sei die App wegen 
eines „technischen Problems” aktuell 
nicht überall verfügbar. Man arbeite mit 
Google und Apple an einer Behebung. 
In anderen App-Stores sei die Software 
aber weiterhin verfügbar und könne di- 
rekt heruntergeladen werden. Auf die 
erhobenen Vorwürfe gingen die Ent- 
wickler mit keinem Wort ein. 

Hacker in den Diensten der Vereinig- 
ten Arabischen Emirate waren Anfang 
2019 in den Fokus der Aufmerksamkeit 
gerückt. Damals hatte die Nachrichten- 
agentur Reuters öffentlich gemacht, 
dass Ex-Geheimdienstmitarbeiter aus 
den USA in Diensten des Golfstaats 
zahlreiche iPhones von Diplomaten, Po- 
litikern und Menschenrechtsaktivisten 
gehackt haben. Eine von ihnen erklärte 
damals, sie habe den Abschied von den 
Beschränkungen der NSA als berau- 
schend empfunden: „Da gab es nicht 
diese schwachsinnige Bürokratie.” Erst 
als sie entdeckt habe, dass auch US- 
Amerikaner ausspioniert wurden, sei 


das für sie zu weit gegangen. Nach ihren 
Protesten wurde sie entlassen (Holland, 
ToTok: Chat-App als Spionagewerkzeug 
für Vereinigte Arabische Emirate, www. 
heise.de 23.12.2019, Kurzlink: https:// 
heise.de/-4622039, Muth, Geheim- 
dienst im Handy, SZ 24.12.2019, 8). 


Afrikanische Staaten 


Zunehmend Datenschutz- 
gesetze - nicht immer mit 
mehr Datenschutz 


Wer es in Kenia mit dem Datenschutz 
nicht so genau nimmt, kann dafür künf- 
tig hinter Gittern landen. Zwei Jahre 
Haft oder bis zu 26.000 Euro Geldstrafe 
sieht das neue Datenschutzgesetz des 
Landes für diese Fälle vor, das seit An- 
fang November 2019 in Kraft ist. Infor- 
mationsminister Joe Muchuru lobte das 
Gesetz, für das die Datenschutz-Grund- 
verordnung (DGSVO) der Europäischen 
Union Vorbild sei: „Beim Datenschutz 
ist Kenia nun Teil der internationalen 
Gemeinschaft geworden”. 

Andere afrikanische Länder wollen 
nachziehen. Gambias Informationsmi- 
nister Ebrima Sillah kündigte auf dem 
UN-Internetforum im November 2019 
an: „In den nächsten 20, 30 Jahren wird 
es mehr Internetnutzer in Afrika geben 
als in Europa und Amerika zusammen. 
Wir machen uns große Sorgen, wer unse- 
re Daten nutzt und wofür.” Immer mehr 
Menschen nutzten mobile Geldtransfers 
wie Mpesa, buchten Flugtickets online, 
verschickten WhatsApp-Nachrichten. 
Dabei entstünden riesige Datenmen- 
gen, mit denen Internetfirmen machen 
können, was sie wollen. 

Leishen Pillay, Datenschutz-Experte 
der Consultingfirma Deloitte in Südafri- 
ka, erklärte: „Es gibt in Afrika nur einige 
Inseln der Regulierung.” Dies seien klei- 
ne Inseln: Weniger als die Hälfte der af- 
rikanischen Länder haben Datenschutz- 
gesetze. Einheitliche Standards wie die 
DGSVO in der Europäischen Union gibt 
es auf dem Kontinent nicht: „Das wäre 
die Wunderwaffe für den Datenschutz.” 
2014 beschloss die Afrikanische Union 
eine Datenschutz-Konvention. Die ist 
aber noch nicht in Kraft, weil sie bisher 
gerade mal von fünf Mitgliedsländern 
ratifiziert worden ist. 
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Cecile Barayre, Datenschutzexpertin 
bei der UN-Konferenz für Handel und 
Entwicklung (UNCTAD), wies zudem auf 
ein Vollzugsdefizit hin: „Wir sehen seit 
einigen Jahren eine wachsende Bereit- 
schaft, Gesetze zu verabschieden. Doch 
die Umsetzung ist eine andere Geschich- 
te.” Nur neun afrikanische Länder haben 
laut UNCTAD Behörden, die über den 
Datenschutz wachen. 2017 stellte De- 
loitte in einem Bericht fest, dass Länder 
wie Südafrika, Kap Verden, Madagaskar, 
Mali oder Südafrika die entsprechenden 
Gesetze nur „minimal“ anwenden. Gha- 
na und Mauritius schnitten besser ab. 
In vielen Ländern sind die zuständigen 
Behörden noch im Aufbau, oft fehlt es 
an qualifiziertem Personal, das Wissen 
über den Datenschutz ist gering. Barayre 
erläutert: „Für viele Entscheidungsträ- 
ger und Regierungen ist es immer noch 
schwierig zu verstehen, welche Revoluti- 
on die Digitalisierung bedeutet.” 

Die Diskussion über Datenschutz 
wird auch gegen Grundrechte instru- 
mentalisiert, so Allie Funk von der US- 
Menschenrechtsorganisation Freedom 
House: „Viele Regierungen erkennen, 
dass es einen Hunger nach mehr Daten- 
schutz gibt und wollen diesen Hunger für 
ihre Zwecke nutzen. Gerade autoritäre 
Regime verfolgen nur zu gern, was kriti- 
sche Journalisten, Oppositionspolitiker 
oder Menschenrechtsaktivisten im Netz 
so treiben. Solche Gesetze erleichtern 
es Regierungen, auf Daten zuzugreifen, 
statt die Daten zu schützen.” Daten- 
schutzgesetze würden manchmal Über- 
wachung erleichtern, zum Beispiel wenn 
die Regeln beinhalten, dass Daten nur 
im Land selbst gespeichert werden dür- 
fen und für einen bestimmten Zeitraum 
aufbewahrt werden müssen. Gerade das 
kenianische Datenschutzgesetz beob- 
achten die Experten von Freedom House 
mit großem Interesse. Viele Vorschriften 
darin seien sinnvoll, sagt Funk. Aber es 
komme auf die Umsetzung an. Funk: 
„Wir sehen in Kenia gerade auch einen 
besorgniserregenden Trend, den Cyber- 
space stärker zu überwachen.” Letztlich 
gebe es für Betroffene nur einen wirksa- 
men Schutz: Die User selbst müssten die 
Kontrolle darüber haben, was wo über sie 
gespeichert wird, und im Zweifelsfall ver- 
langen dürfen, dass diese Daten gelöscht 
werden (Pelz, Afrika: Weiße Flecken beim 
Datenschutz, www.dw.com 18.12.2019). 
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China 


Gehirnwellensensoren 
kontrollieren Schüler 


Journalisten der US-Zeitung Wall 
Street Journal konnten eine Schule in 
der Nähe von Schanghai besuchen, in 
der die chinesischen Kinder mit GPS- 
Trackern in ihren Uniformen und Ge- 
hirnwellenmessgeräten am Kopf ausge- 
stattet sind. In den Klassenräumen sind 
Kameras aufgehängt, die in Zusammen- 
hang mit Gesichtserkennungssoftware 
das Verhalten der Kinder überwachen, 
etwa wie oft sie im Unterricht auf ihr Te- 
lefon schauen. Das Ziel dieses Projekts 
soll es sein, die Noten der Schülerinnen 
und Schüler zu verbessern. 

Die Mutter eines Kindes sieht durch- 
aus Datenschutzprobleme, erklärt aber: 
„Wenn es der Forschung und Entwick- 
lung unseres Landes dient, denke ich, 
ist es kein Problem.” Die Eltern begrüßen 
das Experiment generell wohl mit der 
Hoffnung, ihre Kinder in der Schule bes- 
ser dastehen zu lassen. Mehrere Milliar- 
den US-Dollar soll die Regierung bereits 
in die Methode investiert haben. Betei- 
ligt sind auch große und kleinere chine- 
sische Unternehmen. 

Die Gehirnwellensensoren werden in 
China hergestellt und sind mit jeweils 
drei Elektroden ausgestattet. Kinder tra- 
gen die Geräte wie Stirnbänder den gan- 
zen Tag lang. Die Daten sendet das Sys- 
tem an den Hostcomputer der Lehrkraft. 
Diese kann damit etwa herausfinden, 
welche Schüler sich konzentrieren und 
welche nicht bei der Sache sind. In ei- 
ner Zusammenfassung wird die Leistung 
der gesamten Klasse zusammengefasst, 
inklusive der Konzentrationslevel ein- 
zelner Kinder. Einzelne Berichte können 
dann miteinander verglichen werden. EI- 
tern sehen die Zusammenfassung auf ih- 
ren Smartphones und haben immer und 
überall eine Übersicht, welche Leistun- 
gen ihre Kinder in der Klasse erbringen. 

Die verwendete EEG-Technik ist al- 
lerdings laut dem Neurowissenschaft- 
ler Theodore Zanto anfällig gegenüber 
kleinen Einflüssen. Sind Träger etwa in 
Situationen aufgebracht oder unruhig, 
können Ergebnisse stark verfälscht wer- 
den. Die Konsequenzen sind durch die 
Vernetzung für die Kinder allerdings 
groß: Ein Schüler sagt dazu: „Stellt euch 


vor, bei einer Prüfung bekommen alle 
eine Punktzahl von 95, aber du selbst be- 
kommst eine 85. Würdest du dich nicht 
als Schlusslicht sehen?”. Eine Lehrerin 
verteidigt das Konzept. Der psycholo- 
gische Effekt der Kopfbänder allein sei 
ein Anreiz für die Schüler, sich mehr 
anzustrengen. Erste Verbesserungen bei 
Noten seien bereits erkennbar (Nickel, 
Chinesische Lehrer überwachen Ge- 
hirnwellen ihrer Schüler, www.golem.de 
08.10.2019). 


China 


Standardisierung bei der 
Gesichtserkennung 


In der Volksrepublik China wurde 
begonnen, einen nationalen Standard 
für Gesichtserkennungstechnologien 
zu erarbeiten, da deren allgegenwär- 
tige Anwendung heftige Diskussionen 
über die Datensicherheit ausgelöst 
hatte. Zhang Wang, Vizepräsident der 
SenseTime-Gruppe, der führenden Ein- 
heit des staatlichen Teams, das solche 
Standards erstellt, erklärt: „Es wird 
eine Anleitung und Grundlage für die 
Maßstäbe der Gesichtserkennung in 
allen Bereichen sein, einschließlich 
industrieller, regionaler und organi- 
satorischer Vorschriften.” Das Team 
wurde im November 2019 vom National 
Information Security Standardization 
Technical Committee gebildet. Daran 
beteiligt sind auch der Technologieko- 
nzern Tencent, Ant Financial (die Fi- 
nanzabteilung der Alibaba Group), die 
Pingan Group und andere führende Un- 
ternehmen auf dem Gebiet der künstli- 
chen Intelligenz (KT). 

SenseTime wurde 2014 von Tang 
Xiao’ou, einem bekannten KI-Wissen- 
schaftler und Professor an der Chinese 
University of Hong Kong, gegründet. Es 
hat sich zu einem weltweit führenden 
Anbieter von KI-Algorithmen für mehr 
als 700 Kunden entwickelt. Zu den Kun- 
den zählen Alibaba oder der Smartpho- 
ne-Hersteller Xiaomi. Zhang: „Unsere 
Hauptaufgabe besteht nun darin, einen 
Rahmen für den nationalen Standard 
und einen Zweijahresplan für das Team 
festzulegen.” Derzeit sammeln und un- 
tersuchen sie Themen, die angegangen 
werden müssen. 
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Der Schritt ist auf die weit verbreitete 
Nutzung der Technologie im Leben der 
Menschen zurückzuführen, angefangen 
beim Entsperren von Smartphones bis 
hin zu Sicherheitskontrollen für die täg- 
lichen Zahlungen. Dies löse Bedenken 
hinsichtlich der Sicherheit personen- 
bezogener Daten aus. Bei einer Face- 
Swap-App namens Zao, mit der Benutzer 
Prominente mithilfe künstlicher Intelli- 
genz imitieren können, müssen z.B. die 
Benutzenden das Bild direkt auf der 
Plattform vollständig autorisieren. Als 
Reaktion auf diese Bedenken versprach 
Zhang, standardisierte Kriterien für die 
Erkennungsgenauigkeit, die Fähigkeit 
zur Erkennung von Angriffen und an- 
dere Probleme zu entwickeln, die häufig 
von Benutzern angesprochen werden. 

Er betonte, dass sich die erste Reihe 
von Benchmarks auf technische Anfor- 
derungen, Erkennungsmethoden und 
die Verwaltung personenbezogener Da- 
ten konzentrieren werde. Er ist der An- 
sicht, dass die Herausforderung darin 
bestehen werde, die Umsetzung dieser 
Standards zu gewährleisten. Eine Lösung 
liege darin, systematische Testmethoden 
zur Überprüfung jeder Anforderung fest- 
zulegen, um unpraktische Anforderun- 
gen zu beseitigen. In der Zwischenzeit 
müsse auch die gesunde und nachhalti- 
ge Entwicklung der Technologie effektiv 
gefördert werden, anstatt sie durch Ein- 
schränkungen zu vereiteln. 

Zhang Dapeng, Professor an der Chine- 
se University of Hong Kong in Shenzhen, 
ergänzte, es sei ein Muss geworden, bio- 
logische Identifikationstechnologien in 
der Praxis zu schützen, da sich sonst wei- 
tere Probleme ergeben würden. Er meinte, 
dass Datenschutz und Sicherheit in Chi- 
na an Bedeutung gewinnen würden und 
dass der Missbrauch von solch wichtigen 
persönlichen Informationen wie das eige- 
ne Gesichtsbild für die Menschen immer 
schwieriger zu akzeptieren sei: „Esist kein 
technologisches Problem mehr, sondern 
ein wichtiges soziales Problem, an dem 
sich die Regierung beteiligen muss.” Er 
betonte, dass die Gesetzgebung entschei- 
dend für die Lösung des Problems sei. 
Nicht erwähnt wird, dass Standards bei 
der Gesichtserkennung auch die staatli- 
che Überwachung der Menschen erleich- 
tern (China willStandards fürNutzung der 
Gesichtserkennungstechnologie erarbei- 
ten, german.china.org.cn 12.12.2019). 
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Technik-Nachrichten 


GE Healthcare-Geräte sind 
leicht angreifbar 


Wie Heise meldet, sind verschiedene 
medizinische Geräte von GE Healthcare 
zur Überwachung von Patientinnen und 
Patienten unsicher und können auch 
von außen leicht attackiert werden. Si- 
cherheitsforscher von CyberMDX haben 
insgesamt sechs Sicherheitslücken ent- 
deckt, wobei die Attacken in vielen Fäl- 
len vergleichsweise trivial auszuführen 
sind. Von den Schwachstellen sind fünf 
mit der höchstmöglichen Risikoeinstu- 
fung (CVSS v3.0 Score 10/10) versehen. 
In vielen Fällen könnten Angreifer eige- 
nen Code ausführen und die volle Kon- 
trolle über Geräte erlangen. Attacken 
können aus der Ferne und ohne Authen- 
tifizierung durchgeführt werden. 


Konkret betroffen sind folgende Geräte: 
ApexPro Telemetry Server, Version 4.2 
und früher 

CARESCAPE Telemetry Server, Version 
4.2 und früher 

Clinical Information Center (CIC), Ver- 
sionen 4.X und 5.X 

CARESCAPE Telemetry Server, Version 
4.3 (CVE-2020- 6962,CVE-2020-6961) 
CARESCAPE Central Station (CSCS), 
Version 1.X 

CARESCAPE Central Station (CSCS), 
Version 2.X (CVE-2020- 6962, CVE- 
2020-6964) 

B450, Version 2.X (CVE-2020- 6962, 
CVE-2020-6965) 

B650, Version 1.X (CVE-2020- 6962, 
CVE-2020-6965) 

B650, Version 2.X (CVE-2020- 6962, 
CVE-2020-6965) 

B850, Version 1.X (CVE-2020- 6962, 
CVE-2020-6965) 

B850, Version 2.X (CVE-2020- 6962, 
CVE-2020-6965) 


Um bei der Attacke erfolgreich zu sein, 
könnten Angreifer beispielsweise einen 
privaten SSH-Schlüssel für den Fernzu- 
griff aus Konfigurationsdateien extrahie- 
ren. Alternativ könnte ein Zugriff auch 
über hartcodierte Standard-Log-in-Daten 


geschehen. Darüber hinaus entdeckten 
die Sicherheitsforscher noch, dass eine 14 
Jahre alte Version der Fernverwaltungs- 
software Webmin zum Einsatz kommt, was 
mit einer Vielzahl aktueller Sicherheitslü- 
cken einhergeht. 

Bis die vom Hersteller angekündigten 
Updates erscheinen, müssen Admins Ge- 
räte über Workarounds absichern. Dafür 
bietet die Cybersecurity and Infrastruc- 
ture Security Agency (CISA) Hilfen an. So 
sollten Admins zum Beispiel die Standard- 
Passwörter zügig ändern und Geräte via 
Firewalls effektiv abschotten (Schirr- 
macher, MDhex: Angreifer könnten medi- 
zinische Geräte von GE Healthcare kont- 
rollieren, www.heise.de 24.01.2020, Kurz- 
link: https://heise.de/-4645197). 


Mit Federated Learning 
datenschutzkonforme KI 


Forschende des King's College London 
und von Nvidia haben eine Möglichkeit 
entwickelt, um künstliche neuronale 
Netzwerke (KNN) datenschutzfreundlich 
stellenübergreifend zu trainieren. Dabei 
könnten Trainingsdaten, auch sensitive 
medizinische Informationen, über meh- 
rere Klinikstandorte verteilt einbezogen 
werden. Die neue Technik soll es also Kli- 
niken und medizinischen Einrichtungen 
erlauben, an einem KI-Modell zu arbei- 
ten und es zu trainieren, ohne dabei die 
Ursprungsdaten austauschen zu müs- 
sen. Bei dieser Methodik des „föderier- 
ten Lernens” wird ein zentraler Server 
erstellt, welcher einen Trainingsalgo- 
rithmus für die Künstliche Intelligenz an 
jedes am Projekt beteiligte medizinische 
Zentrum sendet. Die Kliniken wiederum 
trainieren das Modell auf ihren hausei- 
genen Datensätzen, bevor sie es an den 
zentralen Server zurücksenden, um es 
dort aggregieren zu lassen. So bleibt die 
Integrität der Datensätze eines jeden 
Klinikstandortes gewahrt. 

Für die Forschenden ist das Modell 
der medizinische „Durchbruch“ in der 
KI-gestützten Gesundheitsversorgung, 
womit die riesigen Datenbestände me- 
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dizinischer Einrichtungen aufgearbeitet 
werden können. Bei der Präsentation 
ihrer Ergebnisse legten sie dar: „Föde- 
riertes Lernen ermöglicht ein kollabora- 
tives und dezentrales Training neurona- 
ler Netzwerke, ohne die Patientendaten 
weiterzugeben. Jeder Knoten trainiert 
sein eigenes lokales Modell und übergibt 
es periodisch an einen Parameterserver. 
Der Server sammelt und aggregiert die 
einzelnen Beiträge zu einem globalen 
Modell, das dann mit allen Knoten geteilt 
wird.” Der vom King’s College für ihre Ar- 
beit verwendete Datensatz wurde dem 
BraTS 2018 Datensatz entnommen, der 
MRT-Scans von 285 Patienten mit Hirn- 
tumoren enthält. 

In Deutschland arbeitet das Berliner 
KI-Startup XAIN seit 2018 mit einer ver- 
gleichbaren Methodik, um Künstliche 
Intelligenz zu trainieren. Das Team um 
CEO Leif-Nissen Lundbaek hat sich dem 
datenschutzkonformen „Federated Lear- 
ning“ verschrieben. Die europäische 
Datenschutz-Grundverordnung (DSGVO) 
macht es vielen Unternehmen schwer, 
kundenbezogene Daten zu nutzen und 
KI-Modelle zu trainieren. XAIN löst mit 
seinem Federated Learning-Ansatz ge- 
nau das Problem und wahrt dabei die 
Vertraulichkeit der zugrunde liegenden 
Daten. Die Infrastruktur bietet Nutzern 
die Möglichkeit automatisierter Compli- 
ance gemäß der DSGVO und verspricht 
zugleich bessere Trainingsergebnisse. 
Dies wird als großer Durchbruch in einem 
Bereich angesehen, der sonst von hohen 
Kosten und durch aufwendige Prozesse 
zur Wahrung des Datenschutzes geprägt 
ist. Anstatt Daten in einem zentralen KI- 
Modell zu anonymisieren, zu aggregieren 
und zu speichern, trainiert die Federated 
Learning-Technologie von XAIN auf der 
Grundlage getrennt gehaltener Daten- 
quellen eine Vielzahl von KI-Modellen 
separat (Nvidia und Forscher des King’s 
College London erzielen Durchbruch 
beim Training von KI-Modellen, www. 
finanztreff.de 15.10.2019). 


Clearview betreibt welt- 
weite Gesichtsdatenbank 
mit Abgleichangebot 

Die Journalistin Kashmir Hill be- 


schreibt in einer Recherche für die 
New York Times, dass das Unterneh- 
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men Clearview eine gigantische Da- 
tenbank mit mehr als drei Milliarden 
Fotos von menschlichen Gesichtern 
aufgebaut hat: „Das geheime Unter- 
nehmen, das die Privatsphäre, wie wir 
sie kennen, beenden könnte“, so die 
Überschrift. Angeblich lassen sich mit 
Hilfe von Clearview Millionen Men- 
schen innerhalb weniger Sekunden 
erkennen. Um seine Datenbank zu 
speisen, hat Clearview einen gewalti- 
gen Datenstaubsauger entwickelt, der 
öffentlich zugängliche Seiten im Netz 
durchsucht, darunter Netzwerke wie 
Facebook, Youtube, Twitter und Insta- 
gram. Eine Software lädt automatisch 
massenhaft Fotos herunter und ana- 
lysiert sie. Wenn das System Überein- 
stimmungen findet, liefert es weitere 
Fotos und persönliche Daten. Damit 
wird das Realität, was Marc Elsberg in 
seinem dystopischen Roman „Zero“ 
2014 beschreibt. 

Gemäß dem Pressebericht nutzen 
mehr als 600 Behörden das Angebot 
gegen Bezahlung, darunter das FBI, 
das US-amerikanische Ministerium für 
Innere Sicherheit, dutzende Polizei- 
dienststellen und kanadische Ermitt- 
ler, die damit Sexualverbrechen und 
Kindesmissbrauch aufzuklären versu- 
chen. Die Herausgabe einer vollstän- 
digen Liste seiner Kunden verweigert 
Clearview bislang. Dem Bericht zufolge 
arbeitet die Firma aber auch mit pri- 
vaten Unternehmen zusammen. Clear- 
view war bislang praktisch unbekannt 
und gibt sich Mühe, dies zu bleiben: 
Auf der Webseite und in Geschäftsun- 
terlagen fanden sich falsche Adressen 
- angeblich ein Tippfehler. Das einzige 
Linkedin-Profil, das einen Verweis auf 
Clearview enthält, gehört einem ge- 
wissen „John Good“. Tatsächlich steckt 
dahinter Firmengründer Hoan Ton- 
That, der einen falschen Namen nutzte. 
Als Journalistin Hill dem Unternehmen 
nachspürte, erhielt sie monatelang 
keine Antwort. Schließlich meldete 
sich eine Expertin für Krisenkommu- 
nikation, die ein Treffen mit Ton-That 
arrangierte. 

Derart publikumsscheu gehen meist 
obskure Start-ups vor, die vollmundi- 
ge Versprechungen machen, Millionen 
von Investoren einsammeln und dann 
nicht liefern. Im Fall von Clearview 
scheint das Gegenteil der Fall zu sein. 


Mehrere Ermittler werden zitiert, sie 
wüssten selbst nicht genau, wie Clear- 
view arbeite. Die Resultate seien aber 
überzeugend. Innerhalb kurzer Zeit 
hätten sie Verdächtige identifiziert und 
Verbrechen aufgeklärt, darunter Dieb- 
stahl, Mord und Kindesmissbrauch. 

Das Vorgehen von Clearview ist aus 
Datenschutzsicht nicht akzeptabel. 
Die massenhafte Datensammlung ver- 
stößt nicht nur gegen die Nutzungs- 
bedingungen von Plattformen wie Fa- 
cebook. Ton-That wird dazu wie folgt 
zitiert: „Viele Menschen machen das. 
Facebook weiß es.” Es ist völlig unklar, 
wie sicher die Datenbank ist. Behörden 
speichern sensible Informationen auf 
den Servern eines kleinen Unterneh- 
mens, über das sie kaum etwas wis- 
sen und das keiner externen Kontrolle 
unterliegt. In dem System steckt ein 
gewaltiges Missbrauchspotenzial. Poli- 
zisten, die Zugriff auf die Software be- 
sitzen, können damit Frauen stalken, 
die sie auf der Straße treffen. Autori- 
täre Regime können Teilnehmer an De- 
mos identifizieren, so wie es Russland 
bereits mit vergleichbarer Technologie 
vormacht. 

Twitter hat das US-Unternehmen 
Clearview aufgefordert, die Sammlung 
von Fotos und anderen Medien in dem 
sozialen Netzwerk einzustellen und alle 
bislang zusammengetragenen Daten zu 
löschen. Mit dem Zusammentragen der 
öffentlich zugänglichen Bilder werde 
gegen die Nutzungsbedingungen des 
Netzwerks verstoßen. Ob das Startup 
aber auf diesem Weg dazu gezwungen 
werden kann, die Datenbank tatsäch- 
lich zu löschen? Zwar gab es immer 
wieder in den USA Klagen gegen derar- 
tiges Scraping, aber LinkedIn verlor in 
solch einem Fall wenige Monaten zuvor 
vor einem Gericht in Kalifornien. Trotz 
Anfrage machten weder Facebook, 
noch Youtube oder Venmo Angaben, ob 
sie ähnlich gegen Clearview vorgehen 
wollen. 

Offenbar überwacht Clearview, nach 
welchen Personen die Behörden su- 
chen, wie Hill an der eigenen Person 
feststellen konnte: Als die Reporterin 
Polizisten bat, ein Foto von ihr ana- 
lysieren zu lassen, habe das System 
keinen Treffer angezeigt, obwohl es 
viele Bilder von Hill im Netz gibt. Kurz 
darauf hatte Clearview die Ermitt- 
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ler angerufen und sich erkundigt, ob 
sie mit der Presse sprächen. Ton-That 
spielte den Vorfall herunter. Die Soft- 
ware habe nur wegen ungewöhnlicher 
Suchanfragen Alarm geschlagen. Ton- 
That bestätigte indes, dass ClearView 
einen Prototypen für eine Computer- 
brille entwickelt habe. Mit Hilfe von 
Augmented-Reality-Technologie könn- 
te der Träger damit beliebige Menschen 
auf der Straße identifizieren, falls ihre 
Gesichter in der Datenbank enthalten 
sind. Dem Clearview-Gründer zufolge 
habe sein Unternehmen keine Pläne, 
die Brille tatsächlich auf den Markt zu 
bringen (Brühl/Hurtz, Ich kann dich 
sehen, SZ 21.01.2020, 18; Holland, 
Gesichtsdaten: Twitter fordert Clear- 
view zur Löschung auf, www.heise.de 
23.01.2020, Kurzlink: https://www. 
heise.de/-4644811). 


Konsumenten-Tracking in 
der analogen Welt 


Während im Internet Kundendaten 
umfassend und akribisch gespeichert 
und ausgewertet werden, überwiegt im 
stationären Handel noch weitgehend 
Anonymität. Doch analysieren Geschäf- 
te die Laufwege von Verbrauchern, was 
sich z.B. beim Mietpreis niederschlagen 
kann. Dass die Menschen vielerorts ge- 
zählt werden, ist den wenigsten bewusst. 
Für Malls oder große Kaufhäuser ist es 
wichtig zu wissen, wie viele der Besucher 
tatsächlich auch Geld ausgeben. Mittels 
neuer Technologien ist es möglich zu er- 
fassen, welche Abteilungen ein Kunde im 
Kaufhaus wie lange besucht. 

Der Sprecher des Handelsverbands 
Deutschland, Stefan Hertel, erläuter- 
te, dass für den stationären Handel In- 
formationen über die Kundenfrequenz 
gerade durch die Online-Konkurrenz 
immer wichtiger wird: „Ohne entspre- 
chende Besucherzahlen im Geschäft 
ist es sehr schwierig, ausreichend 
Umsatz zu generieren.” So zögen in 
der Vorweihnachtszeit viele Menschen 
ohne konkrete Geschenkidee los und 
ließen sich in der Innenstadt inspi- 
rieren: „Profitieren können davon lo- 
gischerweise nur die Läden, die auch 
viele Besucher anziehen.” 

Marco Atzberger, Mitglied der Ge- 
schäftsführung im Kölner Handelsfor- 
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schungsinstitut EHI, beschreibt die 
Bedeutung der Frequenzmessungen 
für den Mietmarkt. Während Mieten 
häufig am Umsatz bemessen werden, 
werde in der Branche diskutiert, ob 
nicht die Anzahl der Besucher die 
„fairere Währung” sei. Immer häufiger 
bieten Geschäfte einen Lieferservice 
von gekauften Produkten an, wäh- 
rend der direkte Umsatz im Laden aus- 
bleibt. 

Die Zahl der Besuchenden kann 
auf unterschiedlichen Wegen erfasst 
werden. Der Professor für Handelsma- 
nagement an der Leipziger Handels- 
hochschule (HHL) Erik Maier geht da- 
von aus, dass alle größeren Einkaufs- 
zentren in Deutschland die Besucher- 
ströme messen. Neben dem Zählen von 
Kassenbons oder dem Abschätzen, wie 
viele Menschen im Laden sind, werde 
seit etwa 20 Jahren auch mittels Infra- 
rot-Schranke gezählt, wie viele Men- 
schen ein Geschäft betreten. Gerade 
größere Unternehmen greifen dabei 
auf neue Technologien zurück. So er- 
fasst ein WLAN-Router etwa, wie vie- 
le Smartphones mit angeschaltetem 
WLAN versuchen, sich zu verbinden. 
Der Router erfasst die sogenannte 
Media-Access-Control-Adresse, eine 
Nummer, keinen Namen oder andere 
persönliche Daten. Dennoch können 
mit ausreichend Routern Bewegungs- 
profile der Kunden erstellt werden. Bei 
der Zählung über die WLAN-Plattform 
bestehen jedoch Unschärfen, da nicht 
jeder Mensch ein Smartphone mit 
aktivem WLAN in der Tasche hat. Re- 
lative Veränderungen, etwa wie viel 
mehr oder weniger Besucher eine Ver- 
anstaltung im Vergleich zum Vorjahr 
besuchten, können aber relativ valide 
dargestellt werden. 

Die kamerabasierte Kundenerken- 
nung geht noch einen Schritt weiter 
als die WLAN-Methode: Videokameras 
zählen potenzielle Kunden und erken- 
nen Geschlecht oder ungefähres Alter, 
so Erik Meier: „Das ist aber in deut- 
schen Kaufhäusern verhältnismäßig 
unüblich.” Denn der Händler bewege 
sich damit immer mehr im Grenzbe- 
reich dessen, was mit Datenschutz- 
Vorgaben vereinbar sei. Fraglich sei 
etwa, ob solche Aufnahmen gespei- 
chert werden dürfen oder ob Gesich- 
ter verpixelt und damit unkenntlich 


gemacht werden müssen. Atzberger 
von EHI beobachtet einen deutlichen 
Anstieg der Zählung mit Kameras. Die 
Technik sei sowieso zum Diebstahl- 
schutz verbaut, mittlerweile würden 
Gesichter direkt verpixelt. Neben den 
Laufwegen könne sogar die Stimmung 
der potenziellen Kunden analysiert 
werden. Dies sei ein Vorteil in Zeiten, 
in denen der stationäre Handel kaum 
etwas zum Kaufverhalten seiner Kun- 
den weiß. Die Speicherung der Daten 
sei allerdings ein heißes Pflaster: „Das 
möchte niemand anfassen.” Zu groß 
sei die Angst bei den Händlern vor 
Kritik der Kunden, die großen Wert 
auf Datenschutz legen. 

Die Verbraucherzentrale (VZ) Sach- 
sen gibt sich nicht mit der bisheri- 
gen Selbstregulierung zufrieden und 
fordert eine entsprechende transpa- 
rente und datenschutzfreundliche 
Regelung innerhalb der geplanten E- 
Privacy-Verordnung der Europäischen 
Union. Stefanie Siegert, Referentin 
für Digitales und Energie der VZ Sach- 
sen, fordert, es müsse sichergestellt 
werden, dass auch durch das Tracking 
mit WLAN-Routern keine personenbe- 
zogenen Daten ohne Einwilligung der 
Kunden gespeichert werden: „Letzt- 
lich muss der Verbraucher entschei- 
den können, ob er überwacht werden 
möchte oder nicht.” Es könne nicht 
Aufgabe des Verbrauchers sein, die 
WLAN-Funktion auszuschalten, um 
nicht vom Netzwerk eines Kaufhauses 
erfasst zu werden. 

Erik Maier weist darauf hin, dass 
Verbraucher beim Online-Shopping 
wesentlich transparenter seien als in 
herkömmlichen Geschäften. Im stati- 
onären Handel erfasse unter Umstän- 
den ein Anbieter die Daten. Im Inter- 
net würden Daten, die durch Cookies 
bei ganz unterschiedlichen Plattfor- 
men gespeichert werden, hingegen 
zentral ausgewertet. Um die Datener- 
fassung zu umgehen, könne der Ver- 
braucher die automatische Suche von 
Netzwerken in den Smartphone-Ei- 
genschaften deaktivieren. Außerdem 
sei es sinnvoll, regelmäßig die Coo- 
kies im Webbrowser zu löschen (Kah- 
nert, So werden Kunden im Geschäft 
heimlich gezählt, www.fr-online.de 
09.12.2019). 
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Rechtsprechung 


BVerfG 


Recht auf Vergessen I und II 


Das Bundesverfassungsgericht hat 
mit Beschluss vom 06.11.2019 ent- 
schieden, dass ein Mensch auch nach 
schweren Straftaten das Recht hat, on- 
line nicht dauerhaft mit vollem Namen 
gefunden zu werden (1 BvR 16/13). Die 
obersten deutschen Richter gaben der 
Verfassungsbeschwerde eines im Jahr 
1982 wegen Mordes verurteilten Man- 
nes statt, der sich gegen die vollstän- 
dige Nennung seines Namens in online 
noch immer verfügbaren Presseartikeln 
wendet. Bei der Abwägung zwischen 
Persönlichkeitsrechten und Presse- 
freiheit muss demnach besonders der 
zeitliche Abstand zu einer Tat beachtet 
werden. 

Onlinepressearchive können dem- 
nach verpflichtet sein, Schutzvorkeh- 
rungen gegen die zeitlich unbegrenzte 
Verbreitung personenbezogener Be- 
richte durch Internetsuchmaschinen zu 
treffen. Es sei ein Ausgleich anzustre- 
ben: Der ungehinderte Zugriff auf einen 
Originaltext soll möglichst weitgehend 
erhalten bleiben. Aber im Einzelfall soll 
bei bestehendem Schutzbedarf der Zu- 
griff hinreichend begrenzt werden. 

Der Kläger wurde im Jahr 1982 wegen 
Mordes zu einer lebenslangen Freiheits- 
strafe verurteilt, weil er an Bord einer 
Jacht zwei Menschen erschossen hat- 
te. Wer 37 Jahre später seinen Namen 
in einer Internetsuchmaschine eingab, 
stieß nach wie vor auf kostenlos ab- 
rufbare Artikel im Archiv des „Spiegel“ 
unter vollständiger Namensnennung. 
Dagegen erhob der Mann eine Unter- 
lassungsklage. Der Bundesgerichtshof 
(BGH) wies diese Klage in letzter Ins- 
tanz ab. Der Schutz der Persönlichkeit 
habe in diesem Fall hinter dem Infor- 
mationsinteresse der Öffentlichkeit und 
dem Recht auf freie Meinungsäußerung 
zurückzutreten. Dagegen zog der Mann 
vor das Bundesverfassungsgericht, das 
seiner Verfassungsbeschwerde gegen 
das BGH-Urteil statt gab. 
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Das BVerfG stellte klar, dass Betrof- 
fene nicht allein über das „Recht auf 
Vergessenwerden” bestimmen könnten: 
„Welche Informationen als interessant, 
bewundernswert, anstößig oder ver- 
werflich erinnert werden, unterliegt in- 
soweit nicht der einseitigen Verfügung 
des Betroffenen“. Aus dem allgemeinen 
Persönlichkeitsrecht folge nicht das 
Recht, alle früheren personenbezoge- 
nen Informationen aus dem Internet lö- 
schen zu lassen. Während bei aktueller 
Berichterstattung dem Informations- 
interesse „in der Regel” Vorrang einge- 
räumt werde, nehme „das berechtigte 
Interesse an einer identifizierenden 
Berichterstattung mit zunehmendem 
zeitlichen Abstand zur Tat ab“. 

Die Richter ergänzen, dass Informati- 
on früher nur in einem engen zeitlichen 
Rahmen zugänglich gewesen sei, heute 
aber - einmal digitalisiert und veröf- 
fentlicht - langfristig verfügbar sei. 
Hinzu kommt demnach der Umstand, 
dass insbesondere mittels Suchmaschi- 
nen solche alten Informationen direkt 
zugänglich bleiben. Anzustreben sei 
deshalb, „einen ungehinderten Zugriff 
auf den Originaltext möglichst weitge- 
hend” zu erhalten, ihn aber einzelfallbe- 
zogen auch hinreichend zu begrenzen, 
„insbesondere gegen namensbezogene 
Suchabfragen“. Von den Richtern hätte 
also in Betracht gezogen werden müs- 
sen, ob dem Spiegel Maßnahmen hätten 
auferlegt werden können, die Berichte 
schwerer auffindbar zu machen. 

In einem ebenfalls am 06.11.2019 
ergangenen Beschluss zum „Recht auf 
Vergessen” wies das BVerfG dagegen 
eine Verfassungsbeschwerde gegen das 
Oberlandesgericht (OLG) Celle ab (1 BvR 
276/17). In dem Fall ging es um einen 
Fernsehbeitrag des NDR-Magazins Pa- 
norama, zu dem das Interview der spä- 
ter klagenden Beschwerdeführerin ge- 
hörte. Eine Internetsuche nach ihrem 
Namen führt demnach direkt zu dem 
Beitrag, dem sie etwa die Formulierung 
„fese Tricks” im Titel vorwirft. Ihr Ver- 
such, das gerichtlich zu verhindern, war 
gescheitert und die Karlsruher Richter 


konnten keinen Fehler des OLG erken- 
nen. Ein Anspruch auf Auslistung seiim 
konkreten Fall „jedenfalls zum gegen- 
wärtigen Zeitpunkt noch nicht gege- 
ben“ (Bundesverfassungsgericht stärkt 
Recht auf Vergessen im Internet, www. 
zeit.de 27.11.2019; Holland, „Recht auf 
Vergessen” auch bei schweren Strafta- 
ten, www.heise.de 27.11.2019, Kurz- 
link: https://heise.de/-4597240) 


BVerwG 


Auswahlermessen für Da- 
tenschutzaufsicht 


Am 11.09.2019 hat das Bundesver- 
waltungsgericht (BVerwG) in Leipzig 
entschieden, dass eine Datenschutzbe- 
hörde den Betrieb einer Facebook-Fan- 
page untersagen kann (6 C 15.18). Da- 
mit erging die nächste Entscheidung in 
dem inzwischen über 8 Jahre dauernden 
Verfahren zwischen der Wirtschaftsaka- 
demie Schleswig-Holstein und dem Un- 
abhängigen Landeszentrum für Daten- 
schutz Schleswig-Holstein (ULD). Nach- 
dem der EuGH entschieden hatte, dass 
ein Betreiber einer Facebook-Fanpage 
für die Datenerhebung verantwortlich 
ist (dazu Weichert, DANA 1/2019, 4 ff.), 
musste jetzt das vorlegende BVerwG sei- 
ne Entscheidung treffen, beider esnicht 
um die Frage der Rechtmäßigkeit des 
Fanpage-Betriebs ging, sondern aus- 
schließlich um prozessuale Vorfragen, 
nämlich darum, ob das ULD als Daten- 
schutzbehörde überhaupt befugt war, 
die Deaktivierung der Fanpage von der 
Wirtschaftsakademie zu verlangen. Das 
wurde vom BVerwG bejaht. Es ließ sich 
dabei vom Gedanken der Effektivität zur 
Abwehr von Gefahren im Datenschutz- 
bereich leiten: 

„[...] Für die Auswahl unter mehreren 
datenschutzrechtlich Verantwortlichen 
erweist sich der das Gefahrenabwehr- 
recht beherrschende Gedanke der Ef- 
fektivität als legitim. Die Behörde kann 
sich bei der Auswahl unter mehreren in 
Betracht kommenden Adressaten von 
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der Erwägung leiten lassen, dass ein 
rechtswidriger Zustand durch die Inan- 
spruchnahme eines bestimmten Adres- 
saten schneller oder wirksamer beseitigt 
werden kann. [...]” (Rn. 30). 

„Auch im Bereich des Datenschutzes 
kann es das Gebot einer effektiven und 
wirkungsvollen Gefahrenabwehr recht- 
fertigen, denjenigen Verantwortlichen 
heranzuziehen, dessen Pflichtigkeit 
sich ohne weiteres bejahen lässt und 
dem effektive Mittel zum Abstellen des 
Verstoßes zur Verfügung stehen. [...]” 
(Rn. 31). 

Über die Rechtskonformität der kon- 
kreten Anordnung aus dem Jahr 2011 
hat nun das Oberverwaltungsgericht 
Schleswig zu entscheiden. Das BVerwG 
betonte allerdings die Konsequenz, 
sollte die Rechtskonformität der Anord- 
nung des ULD bestätigt werden: „Hat 
diese Maßnahme Bestand, so wird sich 
Facebook um eine datenschutzrechts- 
konforme Lösung bemühen müssen, um 
sein Geschäftsmodell in Deutschland 
weiterverfolgen zu können.” 

Marit Hansen, Landesbeauftragte für 
Datenschutz Schleswig-Holstein, freut 
sich über das Urteil, mit dem „mehr 
Klarheit für die Anwendung unseres 
aufsichtsbehördlichen Instrumentari- 
ums, besonders wenn mehrere daten- 
schutzrechtliche Verantwortliche an 
einer Datenverarbeitung beteiligt sind“, 
hergestellt werde (ULD, Facebook- 
Fanpage-Verfahren: Urteil des Bundes- 
verwaltungsgerichts spricht deutliche 
Sprache, PE 05.12.2019). 


LAG Mecklenburg-Vorpommern 


Schadenersatz wegen unzu- 
lässiger Videoüberwachung 


Das Landesarbeitsgericht Mecklen- 
burg-Vorpommern (LAG) sprach einem 
Beschäftigten wegen einer unzulässi- 
gen Videoüberwachung durch seinen 
Arbeitgeber einen Schadenersatzan- 
spruch nach & 823 BGB wegen Verlet- 
zung von Persönlichkeitsrechten zu 
(Az., 2 Sa 214/19). Der Mitarbeiter 
einer Tankstelle beendete sein Ar- 
beitsverhältnis, nachdem er sich durch 
massive Videoüberwachung in seinen 
Persönlichkeitsrechten verletzt sah. Ihn 
störten weniger die sichtbaren Kameras 
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im öffentlichen Bereich (Zapfsäulen, 
Verkaufsraum), die vor allem auf die 
Abwehr von Straftaten Außenstehender 
zielen, sondern vor allem versteckte Ka- 
meras im Kassen- und im Lagerbereich, 
die nach seiner Einschätzung aus- 
schließlich auf ihn und die Kollegen als 
Arbeitnehmer der Tankstelle abzielen. 

Das LAG gab dem Angestellten Recht. 
Durch die Installation der versteckten 
Kameras im Flur- und Lagerbereich habe 
der Arbeitgeber die Persönlichkeits- 
rechte des Angestellten verletzt. We- 
gen der nur kurzen Dauer des Beschäf- 
tigungsverhältnisses hielt das Gericht 
einen Schadenersatz in Höhe von 1.500 
Euro für gerechtfertigt. Es gehört zum 
Persönlichkeitsrecht jedes Beschäftig- 
ten, dass dieser grds. selbst bestimmen 
kann, ob er abgefilmt wird oder nicht. 
Nur im Ausnahmefall sind Film- oder 
Videoaufnahmen durch den Arbeitgeber 
zulässig. 

Da der Einsatz der versteckten De- 
ckenkameras im Flurbereich nicht auf 
externe Straftäter abzielte, nahm das 
Gericht an, dass Vermögensgegenstän- 
de, die im Sichtbereich der Kameras 
lagern (insbesondere Geld, Zigaretten 
und Alkohol), vor rechtswidrigen Zu- 
griffen durch die Beschäftigten ge- 
schützt werden sollten. Für diese Mit- 
arbeiterüberwachung bedürfe es nach 
dem BDSG einer Rechtsgrundlage. Diese 
könne vorliegen, wenn es einen Anlass 
für Verdachtsmomente gibt oder die Be- 
schäftigten eingewilligt haben. 

Eine anlasslose Überwachung der 
Belegschaft zum Schutz vor Vermö- 
genschädigungen des Arbeitgebers sei 
verboten. Das war nach dem alten 8 32 
BDSG so und gilt auch heute unter dem 
neuen & 26 BDSG. Es habe keine kon- 
kreten Anhaltspunkte gegeben für ein 
berechtigtes Misstrauen gegenüber den 
Angestellten, dass diese beispielsweise 
einen Diebstahl oder sonst ein Delikt 
begehen könnten. Eine Einwilligung 
als Rechtsgrundlage sah das Gericht 
auch nicht. Für die Wirksamkeit einer 
„informierten Einwilligung” sei es er- 
forderlich, dass der Arbeitnehmer vor 
Abgabe der Einwilligqungserklärung über 
die beabsichtigte Datenverwendung in- 
formiert wird. Das Gericht konnte nicht 
erkennen, dass der Arbeitgeber den 
Beschäftigten entsprechend informiert 
und dieser seine Einwilligung zur Vi- 


deoüberwachung abgegeben hat. Eine 
konkludente Einwilligung sei nicht zu- 
lässig (1.500 € Schadensersatz wegen 
unzulässiger Videoüberwachung, www. 
bund-verlag.de 12.11.2019). 


OLG Naumburg 


Apotheken-Internetwerbung 
ohne explizite Einwilligung 
ist wettbewerbswidrig 


Das OLG Naumburg hat mit Urteil vom 
14.11.2019 entschieden, dass ein Ver- 
stoß gegen DSGVO-Vorgaben wettbe- 
werbswidrig ist und Mitbewerbern ein 
Unterlassungsanspruch zusteht, wenn 
die verletzte Norm im konkreten Fall als 
Marktverhaltensregelung einzuordnen 
ist (Az. 9 U 24/19). Im konkreten Fall 
betreibt der Kläger eine Apotheke. Der 
Beklagte ist ebenfalls Apotheker und 
betreibt eine Apotheke, die im Internet 
wirbt. Der Beklagte handelt sein Sorti- 
ment, also auch apothekenpflichtige 
Medikamente, außerdem auch über die 
Internet-Plattform „Amazon Market- 
place“. Der Kläger hatte den Beklagten 
am 16.06.2017 wegen des Vertriebs 
über diese Plattform abmahnen lassen 
und eine strafbewehrte Unterlassungs- 
erklärung gefordert. 

Der Vertrieb über die genannte Platt- 
form verstoße gegen Datenschutzrecht 
und die Berufsordnung der Apotheker 
und sei daher wettbewerbswidrig. Für 
die im Zusammenhang mit dem Erwerb 
apothekenpflichtiger Medikamente 
einhergehende Verarbeitung gesund- 
heitsbezogener Daten des Kunden fehle 
es an einer vorherigen schriftlichen Ein- 
willigung, da diese beim Bestellprozess 
nicht eingeholt werde. 

Das OLG Naumburg folgte der Ent- 
scheidung der Vorinstanz, dem Land- 
gericht Stendal. In der vorliegenden 
Fallkonstellation seien die Regeln der 
DSGVO als Marktverhaltensregeln im 
Sinne des 8 3a UWG (Gesetz gegen den 
unlauteren Wettbewerb) anzusehen. Bei 
den erfassten Daten handelt es sich um 
Gesundheitsdaten im Sinne von Art. 9 
Abs. 1 DSGVO. Der Beklagte verarbeitet 
die von der Handelsplattform erhobe- 
nen Daten ohne ausdrückliche Einwil- 
ligung im Sinne des Art. 9 Abs. 2 lit. a 
DSGVO. 
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Die Frage, ob Datenschutzbestim- 
mungen nach Inkrafttreten der DSGVO 
Marktverhaltensregeln darstellen, ist 
juristisch umstritten. Das OLG Hamburg 
nahm nach Inkrafttreten der DSGVO an, 
dass insoweit die jeweilige Norm kon- 
kret darauf überprüft werden muss, ob 
gerade jene Norm eine Regelung des 
Marktverhaltens zum Gegenstand hat 
(OLG Hamburg, Urteil v. 25.10.2018, 
Az. 3 U 66/17). Das OLG Naumburg 
schließt sich der Auffassung des OLG 
Hamburg an. Im vorliegenden Fall habe 
der Beklagte die Plattform Amazon Mar- 
ketplace in das Feilbieten der von ihm 
vertriebenen Medikamente und Medi- 
zinprodukte in der Weise einbezogen, 
dass er die Popularität dieser Plattform 
nutzt, um Kunden zu gewinnen. Er 
setzt damit die Plattform als Werbeträ- 
ger ein. Amazon selbst wertet die Daten 
aus, um zu werben. Dies ziele auf den 
Markt ab und berühre die wettbewerb- 
lichen Interessen der Marktteilnehmer. 
Denn durch die Auswertung der Absatz- 
daten könnten Kunden zielgerichtet 
angesprochen werden. 

Bei den Bestelldaten der Kunden 
handelt es sich um Gesundheitsdaten 
im Sinne von Art. 9 Abs. 1 DSGVO. Auch 
wenn die Daten, die Amazon für den Be- 
stellvorgang erfasst, keine ärztlichen 
Befunde o.Ä. beinhalten, so könnten aus 
den Bestelldaten Rückschlüsse auf die 
Gesundheit des Bestellers gezogen wer- 
den. Insbesondere die Kombination aus 
mehreren apothekenpflichtigen Medika- 
menten lasse einen Rückschluss auf den 
Gesundheitszustand des Bestellers zu. 

Vorliegend fehle es an einer wirksa- 
men Einwilligung im Sinne des Art. 9 
Abs. 2 lit. a DSGVO. Angesichts des 
Wortlauts des Art. 9 Abs. 2 lit. a DSGVO 
(„ausdrücklich eingewilligt”) dürfe eine 
konkludente Einwilligung die Voraus- 
setzung dieser Vorschrift nicht erfüllen, 
zumal eine ausdrückliche Einwilligung 
gerade nicht vorliege. Darüber hinaus 
werde die Verpflichtung des Apothekers 
zurEinholung einer schriftlichen Einwil- 
ligung berufsrechtlich durch die Berufs- 
ordnung der Apothekenkammer Sach- 
sen-Anhalt konkretisiert. & 15 Abs. 2 
dieser Berufsordnung lautet: „Die Spei- 
cherung und Nutzung patientenbe- 
zogener Daten bedarf der vorherigen 
schriftlichen Einwilligung des Betrof- 
fenen, sofern sie nicht nach dem Bun- 


72 


desdatenschutzgesetz und anderen Er- 
mächtigungsgrundlagen zulässig sind 
oder von gesetzlichen Bestimmungen 
gefordert werden” (Jöhnke, Wann ein 
DSGVO-Verstoß wettbewerbswidrig ist, 
www.asscompact.de 06.12.2019). 


OLG Düsseldorf 


Facebook muss Deutsch 
verstehen 


Das Oberlandesgericht Düsseldorf 
(OLG) hat mit Beschluss vom 18.12.2019 
(Az. I-7 W 66/19) entschieden, dass 
Facebook in einer gerichtlichen Aus- 
einandersetzung mit einem deutschen 
Nutzer nicht auf einer Übersetzung 
deutschsprachiger Schriftstücke in das 
Englische bestehen kann. September 
2018 hatte ein Mann aus Düsseldorf vor 
dem Landgericht Düsseldorf (LG) eine 
einstweilige Verfügung gegen Facebook 
erwirkt. Das Internetunternehmen mit 
Sitz in Irland hatte den Mann wegen des 
Einstellens eines bestimmten Textes ge- 
sperrt und den Text gelöscht. Dies wur- 
de Facebook vom LG per einstweiliger 
Verfügung untersagt. 

Der Mann ließ Facebook die einst- 
weilige Verfügung zustellen. Daraufhin 
meldete sich allerdings eine in Dublin 
ansässige Kanzlei und erklärte, dass 
Facebook die Entgegennahme der über- 
sandten Schriftstücke ablehne, dakeine 
englische Übersetzung der Schriftstü- 
cke zur Verfügung gestellt worden sei 
und die Rechtsabteilung die deutsche 
Sprache nicht verstehe. Es werde eine 
englische Übersetzung benötigt. 

Als der Mann nun rund 730 Euro für 
die ihm durch die Zustellung entstan- 
denen Kosten bei der Rechtspflege- 
rin des LG geltend machte, wies diese 
den Antrag zurück, schließlich sei die 
einstweilige Verfügung nicht wirksam 
zugestellt worden. Der Mann legte 
dann beim OLG Düsseldorf sofortige 
Beschwerde ein. Das OLG ließ die Argu- 
mentation von Facebook nicht gelten 
und hielt die Zustellung für wirksam. 
Für das Sprachverständnis komme es 
nämlich auf die Organisation des Un- 
ternehmens insgesamt an. 

Das OLG führte aus, dass Facebook 
in Deutschland über eine Vielzahl von 
Nutzern verfüge, denen die Plattform 


vollständig in deutscher Sprache zur 
Verfügung gestellt werde. Auch die 
in diesem Zusammenhang verwende- 
ten vertraglichen Dokumente seien in 
deutscher Sprache gehalten. Konkre- 
ten Formulierungen in den Nutzungs- 
bedingungen ließen sich gründliche 
Kenntnisse der deutschen Sprache und 
des deutschen Rechts entnehmen. Die 
einstweilige Verfügung konnte somit 
auch auf Deutsch wirksam zugestellt 
werden. Die Entscheidung über die Kos- 
ten hat das OLG an die Rechtspflegerin 
des LG zurückverwiesen. Dort muss nun 
Facebook noch rechtliches Gehör be- 
züglich der Kostenfestsetzung gewährt 
und auch über die Kosten des Beschwer- 
deverfahrens entschieden werden (Fa- 
cebook kann genug Deutsch, www.lto. 
de 07.01.2020). 


VG Hamburg 


G-20-Polizeifahndungsab- 
gleich mit Gesichtsbildern 
zulässig 


DasVerwaltungsgericht Hamburg (VG) 
hat mit Urteil vom 23.10.2019 entschie- 
den, dass die Polizei zur Aufklärung von 
Straftaten während des G-20-Gipfels in 
Hamburg im Juli 2017 weiter auf eine 
Datenbank zum Massenabgleich biome- 
trischer Gesichtsdaten zurückgreifen 
darf und damit die Anordnung des Ham- 
burger Datenschutzbeauftragten aufge- 
hoben, diese sogenannte Referenzda- 
tenbank zu löschen (Az. 17 K 203/19). 
Die Richter stuften diese Anordnung 
als rechtswidrig ein. Grundlage für die 
Entscheidung des Verwaltungsgerichts 
war eine Klage des Hamburger Innen- 
senators. Für die Anordnung des Daten- 
schutzbeauftragten lagen nach Ansicht 
des Gerichts die Voraussetzungen nicht 
vor. Dieser hätte die Datenverarbeitung 
der Polizei in der konkreten Formin den 
Blick nehmen und eigene Feststellun- 
gen zu einem Verstoß gegen Vorschrif- 
ten des Datenschutzes treffen müssen. 
Eine Berufung ließ das Gericht nicht 
zu. Der Datenschutzbeauftragte könnte 
jetzt noch einen Antrag auf Zulassung 
der Berufung beim Oberverwaltungsge- 
richt Hamburg stellen. 

Die Hamburger Polizei setzt zur Auf- 
klärung der schweren Ausschreitungen 
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beim G20-Gipfel auch auf Gesichtser- 
kennungssoftware (DANA 4/2018, 199). 
Hamburgs Datenschutzbeauftragter Jo- 
hannes Caspar ging davon aus, dass das 
Erheben und Speichern der Bild- und 
Videodateien von Personen, die beim 
G20-Gipfel Straftaten begangen haben, 
durch die Polizei zulässig war. Dies aber 
gelte aber nicht für die biometrische 
Verarbeitung dieses Rohmaterials durch 
den Einsatz einer Gesichtserkennungs- 
software: „Daten von größtenteils völlig 
unbeteiligten Personen werden biome- 
trisch verarbeitet und zum Zweck der 
Strafverfolgung gespeichert.” 

Caspar zeigte sich von der Entschei- 
dung des VG enttäuscht. Das Gericht 
beschränke die Kompetenz des Daten- 
schutzbeauftragten offenbar „auf eine 
Überprüfung der Datenverarbeitung in 
konkret praktizierter Form und auf Ver- 
stöße gegen einzelne Datenschutzge- 
setze”. In „Fällen, in denen die Daten- 
verarbeitung durch die verantwortliche 
Stelle ohne gesetzliche Grundlage er- 
folgt und damit ein gesetzlicher Über- 
prüfungsrahmen gerade fehlt“, sei dies 
„problematisch und widersprüchlich“. 
Die Entscheidung des Gerichts mache 
den Weg dafür frei, dass „zur Strafver- 
folgung künftig alle erdenklichen Daten 
aus dem öffentlichen Raum” gesammelt 
und zum Generieren biometrischer Pro- 
file genutzt werden, „ohne dass kon- 
krete gesetzliche Vorgaben eine unab- 
hängige Kontrolle zur Sicherung von 
Rechten Betroffener ermöglichen” (G20 
in Hamburg Polizei darf Datenbank für 
Gesichtsabgleich weiter nutzen, www. 
spiegel.de 4.10.2019). 


VG Schleswig 


Videoüberwachung in Fit- 
ness-Umkleiden unzulässig 


Mit Urteil vom 19.11.2019 hat das 
Verwaltungsgericht Schleswig (VG) die 
Klagen des Betreibers einer Fitness- 
Kette gegen die Anordnungen der Da- 
tenschutzbehörde Schleswig-Holstein 
zum Abbau von Videokameras in Um- 
kleidekabinen verhandelt und abge- 
wiesen (Az. 8 A 832-825/17). Einige 
Jahre zuvor hatte die Behörde, das Un- 
abhängige Landeszentrum für Daten- 
schutz (ULD), Fitness-Studios geprüft 
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und für alle vier Studios festgestellt, 
dass die Videoüberwachung in einigen 
Bereichen gegen das Datenschutzrecht 
verstößt. Das ULD untersagte im Juni 
2017 die Überwachung dieser Berei- 
che. Betroffen sind Videokameras in 
Umkleiden, auf Trainingsflächen und 
in Aufenthaltsbereichen. Marit Hansen, 
die Leiterin des ULD, berichtet, dass 
Sporttreibende und Fitness-Fans sich 
immer wieder beim ULD über Videoka- 
meras in Fitness-Studios beschweren: 
„Nicht jede Videokamera ist unzulässig, 
aber in Umkleiden, in denen sich die 
Sportlerinnen und Sportler umziehen, 
haben sie überhaupt nichts zu suchen. 
Unser Prüfteam hat sich damals die 
Kameras genau angeschaut und be- 
wertet. Nach der jetzigen Bestätigung 
durch das Verwaltungsgericht erwarte 
ich eine zügige Umsetzung der Daten- 
schutzanforderungen. Es gilt nämlich: 
Eine Beobachtung und Aufzeichnung 
durch Videokameras beeinträchtigt die 
Privatsphäre - hier müssen Betreiber 
immer die schutzwürdigen Interessen 
der Menschen berücksichtigen“ (ULD 
PM 20.11.2019, Videoüberwachung im 
Fitness-Studio - nicht in Umkleiden!). 


AGH Berlin 


Keine Ende-zu-Ende-Ver- 
schlüsselung für Anwälte 


Der Berliner Anwaltsgerichtshof 
(AGH) hat am 14.11.2019 die Klage 
einer Gruppe von Rechtsanwälten ab- 
gewiesen, die gefordert hatten, das 
„besondere elektronische Anwaltspost- 
fach” (beA) nachträglich mit einer si- 
cheren Ende-zu-Ende-Verschlüsselung 
auszurüsten (I AGH 6/18). Das Gericht 
hält es im Gegensatz zu den Antrag- 
stellern nicht für nötig, für das digitale 
Kommunikationsverfahren eine solche 
Verschlüsselung vorzuschreiben. 

Der AGH begründet seinen Beschluss 
damit, dass es sich bei „Sicherheit“ um 
einen unbestimmten Rechtsbegriff han- 
dele. Um diesen anzuwenden und aus- 
zulegen, müssten Sinn und Zweck des 
Gesetzes und die geschützten Rechtspo- 
sitionen der Kläger abgewogen werden. 
Es gehe nur darum, einen relativen Zu- 
stand der Gefahrenfreiheit zu gewähr- 
leisten. Dem genügten die derzeitigen 


Vorkehrungen. Aus den rechtlichen 
Regelungen zum Anwaltspostfach geht 
nach Ansicht des Gerichts nicht her- 
vor, dass eine solche durchgängige Ver- 
schlüsselung zwingend notwendig ist. 

Rechtsanwälte müssen das äußerst 
umstrittene und pannenanfällige beA 
u.a. für elektronische Gerichtspost nut- 
zen. Die Konzeption der Bundesrechts- 
anwaltskammer (BRAK) sieht aber kei- 
ne durchgehende kryptografische Ab- 
sicherung ausgetauschter Nachrichten 
und Dateien vor, die sicherstellen wür- 
de, dass nur der Versender und der vor- 
gesehene Empfänger mitlesen können. 

Die Kommunikation lässt sich in dem 
System unterwegs auf einem Server der 
BRAK mit einem Hardware-Sicherheits- 
modul (HSM) „umschlüsseln”, was die 
durchgehende Vertraulichkeitskette 
durchbricht. Mit der Option zum zeit- 
weiligen Ent- und späteren Wiederver- 
schlüsseln ist ein Zugriff auf sensible 
Nachrichten innerhalb des HSM zumin- 
desttechnisch denkbar, was gerade an- 
gesichts des lohnenden Ziels Angreifer 
auch aus dem kriminellen Milieu anlo- 
cken könnte. Trotz dieser Konstruktion 
hatte die Bundesrechtsanwaltskammer 
ursprünglich fälschlicherweise behaup- 
tet, dass das BeA eine Ende-zu-Ende- 
Verschlüsselung nutzt. 

Ulf Buermeyer, Vorsitzender der die 
Klage unterstützenden und koordinie- 
renden Gesellschaft für Freiheitsrechte 
(GFF), wertete das erstinstanzliche Ur- 
teil als „Rückschlag für die IT-Sicherheit 
im Rechtsverkehr und damit auch für die 
Integrität des Rechtsstaats insgesamt”. 
Der AGH weiche damit die gesetzliche 
Pflicht zum Schutz des elektronischen 
Verfahrens nach dem Stand der Technik 
unnötig auf. Letztlich ließen die Richter 
so ein „halbwegs sicheres beA” genü- 
gen, obwohl mit einer durchgehenden 
Verschlüsselung seit Jahrzehnten die 
Möglichkeit für wirklich sichere Kom- 
munikation zur Verfügung stünde. 

Die GFF prüft, ob eine Berufung sinn- 
vollist. Buermeyer zeigte sich vorab be- 
reits sehr zuversichtlich, dass zumindest 
„der Bundesgerichtshof das beA in sei- 
ner derzeitigen Form wie wir als gesetz- 
widrige Gefahr für die Vertraulichkeit 
der anwaltlichen Kommunikation er- 
kennen wird“ (Krempl, Gericht: Durch- 
gehende Verschlüsselung beim An- 
waltspostfach nicht nötig, www.heise. 
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de 14.11.2019; Böck, Keine Ende-zu- 
Ende-Verschlüsselung fürs Anwalts- 
postfach, www.golem.de 14.11.2019). 


Österreichischer VerfGH 


Staatstrojaner und Kfz- 
Kennzeichen-Speicherung 
verfassungswidrig 


Der österreichische Verfassungsge- 
richtshof hat mit Urteil vom 11.12.2019 
Teile des von den damaligen Regie- 
rungsfraktionen ÖVP und FPÖ beschlos- 
senen „Sicherheitspakets” gekippt (G 
72-74/2019, G 181-182/2019). Wie das 
Gericht am 11.12.2019 bekanntgab, 
wurden der von der letzten rechtskon- 
servativen Regierung 2018 eingeführte 
„Bundestrojaner” sowie die automa- 
tische Kennzeichenerfassung für ver- 
fassungswidrig erklärt. „Die verdeckte 
Überwachung verschlüsselter Nach- 
richten“ durch Behörden mittels des 
„Bundestrojaners” sei ein zu starker 
Eingriffin die Privatsphäre, da auch vie- 
le unbeteiligte Kontakte der Überwach- 
ten mitbetroffen wären. Auch sei nicht 
gewährleistet, dass solche Überwa- 
chungsmaßnahmen nur bei schweren 
Straftaten angewendet würden, die eine 
so weitgehende Überwachung recht- 
fertigen könnten. Dass die Sicherheits- 
behörden zur Installation des Trojaners 
auf Geräten von Zielpersonen heimlich 
in Wohnungen eindringen und etwai- 
ge Sicherheitsvorkehrungen aushebeln 
dürften, verstoße außerdem gegen die 
Unverletzlichkeit des Hausrechts. 

Die Regierung unter Bundeskanzler 
Kurz hatte die Befugnisse für Sicher- 
heitsbehörden stark ausgeweitet, um 
das Mitlesen verschlüsselter Messenger- 
Kommunikation direkt an der Quelle 
zu ermöglichen. Die Einführung wäre 
im April 2020 für Verbrechen mit einer 
Höchststrafe von mehr als zehn Jahren 
oder bei Terrorverdacht und bei Strafta- 
ten gegen Leib und Leben sowie Sexu- 
aldelikten mit einer Höchststrafe von 
über fünf Jahren geplant gewesen. 

Ebenso kippten die Richter den Zu- 
griff der Behörden auf Kameras an ös- 
terreichischen Straßen, um Kennzei- 
chen, Autotyp, Marke und Farbe sowie 
die Identität der Fahrer erfassen und 
zwei Wochen lang speichern zu dür- 
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fen. Die damit entstehende anlasslose 
Vorratsdatenspeicherung sei unver- 
hältnismäßig, die permanente Daten- 
erfassung im Straßenverkehr könnte 
bei weiten Teilen der Bevölkerung ein 
„Gefühl der Überwachung“ erzeugen. 
Dieses Überwachungsgefühl könne die 
Versammlungs- oder Meinungsfreiheit 
einschränken. Darüber hinaus sei die 
Ermittlungsmethode alleine schon un- 
verhältnismäßig, da auch schon Fälle 
„der leichtesten Vermögenskriminali- 
tät” verfolgt werden dürften. 

Teil der nun gestoppten Straßenüber- 
wachung ist auch, dass die Behörden 
nicht mehr verdeckt auf die Daten des 
„section Control”-Systems zugreifen 
dürfen, das primär Geschwindigkeiten 
auf einer bestimmten Wegstrecke misst. 
Da damit Standortdaten und ein Bewe- 
gungsprofil erstellt werden könnten, 
handele es sich laut den Richtern um 
einen „gravierenden Eingriff” in Daten- 
schutz und Privatsphäre. 


nun an; 


Ontenschutz im Krankenhaus 


ma en hesarıngen ren de 0 


sung 


® 


Hauser/Haag 

Datenschutz im Krankenhaus - mit 
allen Neuerungen durch die DS-GVO, 
5. Auflage 2019, 662 Seiten, 

ISBN 978-3-946866-17-6, 64,90 € 


(wh) Das umfangreiche Werk gibt ei- 
nen umfassenden Überblick über die 
datenschutzrechtlichen Grundlagen, 
die bei der Patientendatenverarbeitung 
zu beachten sind. Hierbei finden neben 


Die Opposition hatte beim Beschluss 
des Überwachungspakets im April 2018 
gewarnt, Österreich werde dadurch zu 
einem „Überwachungsstaat“. Die Klage 
vor dem Verfassungsgerichtshof hatten 
daraufhin Abgeordnete der SPÖ und der 
liberalen Neos eingereicht. Der stell- 
vertretende Neos-Chef Niki Scherak sah 
in dem Urteil eine „klare Absage an die 
umfassenden Überwachungsfantasien“ 
der damaligen türkis-blauen Regierung. 
Von dem beschlossenen Paket bleiben 
nur noch einige andere Regelungen üb- 
rig. So haben Strafermittler weiterhin 
Zugriff auf zahlreiche Videokameras im 
öffentlichen Raum, wie zum Beispiel 
in Bahnhöfen und Flughäfen. Zulässig 
bleiben eine Identifizierungspflicht 
beim Kauf von SIM-Karten sowie ein 
gelockertes Briefgeheimnis (Koenigs- 
dorff, Österreichisches Verfassungsge- 
richt stoppt Staatstrojaner, www.heise. 
de 11.12.2019, Kurzlink: https://heise. 
de/-4612129). 


Buchbesprechungen 


der EU-Datenschutz-Grundverordnung 
(DSGVO) und dem Bundesdatenschutz- 
gesetz 2018 (BDSG) auch landes- und 
bereichsspezifische Regelungen wie 
Sozialgesetzbuch (SGB) V, Landeskran- 
kenhaus- und -datenschutzgesetze, 
kirchliches Datenschutzrecht und die 
ärztliche Schweigepflicht Beachtung. 
Auf eine kurze Behandlung der Grund- 
lagen des Datenschutzes folgt eine 
ebenfalls kurze Erörterung des zentra- 
len Begriffs der „Verarbeitung“. Daran 
schließt sich ein Überblick über die 
anzuwendenden Datenschutznormen 
und -regelungen an. Die Themen „Ein- 
willigung“ sowie „Ärztliche Schwei- 
gepflicht” werden im ausreichenden 
Umfang erörtert. Die durch die DSGVO 
erweiterten Rechte der betroffenen Per- 
sonen finden eine ausführliche Beach- 
tung. Die Verwendung von Patienten- 
daten innerhalb des Krankhauses wird, 
wie auch die Übermittlung von Patien- 
tendaten an Stellen außerhalb des Kran- 
kenhauses, zum einen grundsätzlich 
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und zum anderen mit praktischen Fall- 
beispielen erläutert. Weitere Themen 
wie „Dokumentation und Archivierung” 
und Ausführungen zu den betrieblichen 
Datenschutzbeauftragten runden das 
Werk ab. Datenschutzbeauftragten und 
Datenschutzverantwortlichen in Kran- 
kenhäusern hilft dieses Werk sicher bei 
der Umsetzung der vielfältigen Anfor- 
derungen des Datenschutzes in ihren 
Einrichtungen. 
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Stiftung Datenschutz (Hrsg.) 
Dateneigentum und Datenhandel, 
DatenDebatten Band 3, Schriftenreihe 
der Stiftung Datenschutz, 

2019/ 1. Auflage, 325 Seiten, 

ISBN 978-3-503-18225-1, 58,- € 


(wh) In neunzehn Beiträgen von Au- 
torinnen und Autoren aus unterschied- 
lichen Disziplinen werden die Themen 
Dateneigentum und Datenhandel sowie 
damit verbundene Aspekte erörtert. Ei- 
nigkeit besteht darin, dass es im Sinne 
des Materialgüterrechts kein Eigentum 
an Daten geben kann. In Bezug auf das 
Immaterialgüterrecht gehen die Mei- 
nungen hingegen auseinander. Zum 
einen wird darauf verwiesen, dass es 
ähnlich zum Begriff „geistiges Eigen- 
tum“ im Sinne des Urheberrechts ein 
Dateneigentum geben könnte. Auf der 
anderen Seite wird argumentiert, dass 
es bei vielen Daten, seien sie personen- 
bezogen oder nicht, an einer Urheber- 
schaft fehle. Gerade bei personenbezo- 
genen Daten - die im Kontext des He- 
rausgebers besonders interessant sind 
- stellt sich die auch in diesem Werk 
erörterte Frage, wer denn Eigentum an 
den Daten erwirbt: Die betroffene Per- 
son, auf die sich die Daten beziehen? 
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Das Unternehmen, das die Daten zu sei- 
nen Zwecken erhebt? Auch die Fragestel- 
lungen, welche Bedeutung die Frage der 
Klin Bezug auf Dateneigentum hat, wie 
das Datenschutzrecht bei personenbezo- 
genen Daten oder das Recht im Bereich 
von Betriebs- und Geschäftsgeheimnis- 
sen mit dem Dateneigentum verknüpft 
werden kann, welche Anforderungen 


Cartoon 
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ICH HABE DAS GEFÜHL, DASS IN SCHWEDEN TRANSPARENZ 
MEHR GILT ALS DATENSCHUTZ. DAS BARGELD IST WELT- 
GEHEND ABGESCHAFFT UND SOMIT WIRD DAS KOMPLETTE 
KONSUMVERHALTEN PROTOKOLLIERT. AUSSERDEM KANN JEDER 
EINSICHT IN DIE GEHÄLTER ODER SCHULDEN DER NACHBARN 
BEKOMMEN UND Z. B. AUSKUNFT ERHALTEN, WELCHE 
FAHRZEUGE ANGEMELDET SIND.' 


- IM 


IN MANCHEN FÄLLEN WIRD DORT TRANSPARENZ - VOR 
ALLEM WENN ES WIE BEI WIKILEAKS UM DIE AUFDECKUNG 
-] VON KRIEGSVERBRECHEN GEHT - GAR NICHT GERN GESEHEN. 
DAZU WERDEN AUCH SCHON MAL POLTZEIPROTOKOLLE 
UMGESCHRIEBEN. EIN KLARES BEISPIEL FÜR DOPPELMORAL. 
SCHWEDEN TRÄGT EINE ERHEBLICHE MITSCHULD AN DER 
INHAFTIERUNG VON JULIAN ASSANGE IN LONDON. 


an ein Dateneigentum es aus Verbrau- 
cherschutzsicht gibt, werden in diesem 
interessanten und lesenswerten Band er- 
örtert. Durch die Bandbreite der Beiträge 
ist dieses Werk allen zu empfehlen, die 
sich mit dem Thema Dateneigentum nä- 
her beschäftigen wollen oder sich auch 
nur einen Überblick über die aktuelle De- 


batte verschaffen wollen. 
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1 https://www.spiegel.de/karriere/gehaelter-in-schweden-maximale-transparenz- 
a-881340.html 


2 https://www.n-tv.de/politik/Vergewaltigungsvorwuerfe-waren-konstruiert- 


article21611834.html 
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Darf der Staat auch 
die intimste 
Privatsphäre 

mit dem Argument 

„rechtsfreier Raum 
abschaffen? 
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